如何通过CLI为Lambda加密环境变量？

Question

在创建Lambda函数时，通过GUI控制台加密环境变量并不难。我只是输入密钥值对，然后打开加密帮助程序，输入我的KMS密钥的ARN。这允许我加密值，所以它在被发送到存储之前被加密，如上图所示。

我要完成的是同样的事情，但假设您不是在GUI控制台中部署Lamba函数，而是通过CloudFormation模板，该模板将部署在CLI中。

下面是我在CloudFormation模板中指定相关参数的方法：

"EnvironmentVariable" : {
      "Type" : "String",
      "Default" : "test",
      "Description" : "Environment Variable"
    },
    "KmsKeyArn" : {
      "Type" : "String",
      "Description" : "KMS Key ARN if environment variables are encrypted"
    },

"Environment" : {
   "Variables" : {
     "SomeVariable": {
       "Ref" : "EnvironmentVariable"
     }  
   }
 },
 "KmsKeyArn" : { "Ref" : "KmsKeyArn" },

在CLI中运行该函数后，我没有得到任何错误，但当我在控制台中打开Lambda函数检查结果时，我看到如下所示：

我哪里错了？谢谢你的真知灼见。

Answer 1

1. 如果您还没有KMS密钥，请创建一个KMS密钥(AWS>IAM>加密密钥>创建新密钥>提供别名）。获取密钥ID。
2. 通过KMS加密变量。示例:

$aws kms Encrypt--key-id$key_id--plaintext secretpassword--output text--query CipherTextBlob

AQICAHJZ+JLI8KKMIVC++NHNBCO0xx3LFAACFSJH8YJIG3YR2AFPIYKCP3XVOEDLBITMWIEJAAAABDBQBGKQHKIG9W0BBWAGXTBBAGEAMFYGCSQGSIB3DQEHATAEBGLGHKGBZQMEAS4WEQQMHAI9VKA2KDU5GD+QAGEQGCNWW4F3FB7PTWMA2PPSKJHUL0DJGEXIE5ODCR3ZSH7TLN5X381JUPG0LA==

将其保存在CF模板中，如下所示

"environment_variables": {
        "SECRET_DATA": "AQICAHjZ+JlI8KKmiVc++++NhnBcO0xX3LFAaCfsjH8Yjig3Yr2AFPIyKCp3XVOEDlbiTMWiejAAAAbDBqBgkqhkiG9w0BBwagXTBbAgEAMFYGCSqGSIb3DQEHATAeBglghkgBZQMEAS4wEQQMhai9vkA2KdU5gd+qAgEQgCnWW4F3fb7pTwmA2ppskJhUl0dJGEXIE5oDCr3ZsH7TlN5X381juPg0LA=="
       }

3.在Lambda函数内部解密

kms = boto3.client('kms')
response = kms.decrypt(CiphertextBlob=os.environ['SECRET_DATA'].decode('base64'))
secret_data = response['Plaintext']
secret_data

或者尝试此选项:https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-paramstore-about.html#sysman-paramstore-securestring