有关意外将AWS SSM参数设置为String而不是SecureString的问题

Question

我不小心将密码作为字符串而不是SecureString存储在AWS SSM中。然后，我使用boto3在Python中访问了此参数。我现在需要担心任何安全隐患吗？

这是我通过Python访问它的方式：

client = boto3.client('ssm', region_name=REGION_NAME)
parameter = client.get_parameter(Name=abs_key, WithDecryption=True)['Parameter']
value = parameter['Value']

谢谢！

Answer 1

答案确实取决于您的偏执程度。通过以字符串而不是SecureString的形式存储，密码以明文形式存储在参数存储中。有权访问参数存储的任何人都可以读取密码。这包括具有参数存储访问权限的AWS账户的任何成员以及AWS本身。如果您担心前者，则可能需要更改密码并将新密码存储为SecureString，选择只有适当的用户才能访问的KMS密钥。如果您担心后者，则应切换云提供商。

使用boto3检索密码不会增加您的风险或暴露。当boto使用AWS API请求该参数时，密码将通过TLS进行加密（API仅适用于https）。