如何在AWS lambda中使用加密环境变量？

Question

我试图在Node.js4.3中运行的AWS Lambda函数中使用加密的环境变量，但是在尝试解密变量时代码挂起。我没有收到任何错误信息，它只是超时。以下是我尝试过的：

我在与Lambda相同的区域中创建了加密密钥，并确保Lambda运行的角色能够访问该密钥。（我甚至尝试过让角色完全控制按键。）

创建Lambda时，我启用加密帮助程序，选择加密密钥，并加密环境变量：

"use strict";

const AWS = require('aws-sdk');

const encrypted = process.env['DBPASS'];
let decrypted;


function processEvent(event, context, callback) {
    console.log("Decrypted: " + decrypted);
    callback();
}

exports.handler = (event, context, callback) => {
    if (decrypted) {
        console.log('data is already decrypted');
        processEvent(event, context, callback);
    } else {
        console.log('data is NOT already decrypted: ' + encrypted);
        // Decrypt code should run once and variables stored outside of the function
        // handler so that these are decrypted once per container
        const kms = new AWS.KMS();
        console.log('got kms object');
        try {
        var myblob = new Buffer(encrypted, 'base64');
        console.log('got blob');
        kms.decrypt({ CiphertextBlob: myblob }, (err, data) => {
            console.log('inside decrypt callback');
            if (err) {
                console.log('Decrypt error:', err);
                return callback(err);
            }
            console.log('try to get plaintext');
            decrypted = data.Plaintext.toString('ascii');
            console.log('decrypted: ' + decrypted);
            processEvent(event, context, callback);
        });
        }
        catch(e) {
            console.log("exception: " + e);
            callback('error!');
        }
    }
};

data is NOT already decrypted: AQECAH.....
got kms object
got blob
END RequestId: 9b7af.....
Task timed out after 30.00 seconds

当我从未告诉应用程序使用什么解密密钥时，解密应该如何工作呢？decrypt的文档没有提到告诉它使用什么解密密钥的任何方法。我没有收到任何错误消息，告诉我它不知道使用什么键或任何东西。

我已经尝试过这个教程，但它只是告诉我做我已经做过的事情。我也阅读了所有的环境变量文档，但它说我所做的应该只是工作。

Answer 1

解密环境变量需要对KMS服务进行API调用。要做到这一点，您的Lambda函数必须能够访问internet，因为KM没有VPCendpoint。因此，如果Lambda运行在VPC中，请确保为VPC配置了NAT以允许Lambda函数调用KMS。