在AWS Lambda包中存储机密

Question

我目前正在Lambda中存储Google Cloud私钥文件。它已从源代码管理中排除，并在上传到AWS之前打包到最终的lambda zip文件中。

这安全吗？

我知道，出于各种原因（出现在日志等中），将秘密存储在环境变量中是个坏主意，但是我目前不知道我的操作方式是否不好（据我所知）。

我知道存在用于加密机密信息的KMS，但是似乎每次使用Lambda时（或每次Lambda获得新的执行上下文时）都要使用它并不得不发出解密文件的请求，效率低下。

Answer 1

参数存储可用于存储由AWS Service： Systems Manager 提供的密码/秘密文本。

下面是示例：

遵循Guide to IAM policies for Parameter store

的IAM策略可以限制对这些密码的访问

可以附加Lambda角色，您可以通过该角色查询密码/秘密文本。无需文件解密。只需1/2个API调用。