Résoudre les problèmes de rotation AWS Secrets Manager

Pour un grand nombre de services, Secrets Manager utilise une fonction Lambda afin d'effectuer la rotation des secrets. Pour plus d’informations, consultez Rotation par fonction Lambda. La fonction de rotation Lambda interagit avec la base de données ou le service auquel le secret est destiné, ainsi qu'avec Secrets Manager. Lorsque la rotation ne fonctionne pas comme prévu, vous devez d'abord vérifier les CloudWatch journaux.

Note

Certains services peuvent effectuer la gestion des secrets à votre place, notamment la gestion de la rotation automatique. Pour plus d’informations, consultez Rotation gérée pour les AWS Secrets Manager secrets.

Pour consulter les CloudWatch journaux de votre fonction Lambda

1. Ouvrez la console Secrets Manager en suivant le lien https://console.aws.amazon.com/secretsmanager/.

2. Choisissez votre secret, puis sur la page des détails, sous Rotation configuration (Configuration de la rotation), choisissez la fonction de rotation Lambda. La console Lambda s'ouvre.

3. Dans l'onglet Surveiller, sélectionnez Journaux, puis Afficher les connexions CloudWatch.

   La CloudWatch console s'ouvre et affiche les journaux de votre fonction.

Aucune activité après « Found credentials in environment variables » (Informations d'identification trouvées dans les variables d'environnement)

Si rien ne se passe après « Found credentials in environment variables » (Informations d'identification trouvées dans les variables d'environnement) et que la durée de la tâche est longue, par exemple si elle dépasse le délai Lambda par défaut de 30 000 ms, il se peut que la fonction Lambda expire alors qu'elle essaie d'atteindre le point de terminaison Secrets Manager.

Votre fonction de rotation Lambda doit être en mesure d'accéder à un point de terminaison Secrets Manager. Si votre fonction Lambda peut accéder à Internet, vous pouvez utiliser un point de terminaison public. Pour trouver un point de terminaison, consultez AWS Secrets Manager points de terminaison.

Si votre fonction Lambda s'exécute dans un VPC qui ne dispose pas d'un accès Internet, nous vous recommandons de configurer les points de terminaison privés du service Secrets Manager dans votre VPC. Votre VPC peut ensuite intercepter les demandes adressées au point de terminaison régional public et les rediriger vers le point de terminaison privé. Pour plus d’informations, consultez Point de terminaison d’un VPC.

Vous pouvez accorder à votre fonction Lambda un accès au point de terminaison public Secrets Manager en ajoutant une Passerelle NAT ou une passerelle Internet à votre VPC, ce qui permet au trafic de votre VPC d'atteindre le point de terminaison public. En procédant ainsi, votre VPC est exposé à certains risques dans la mesure où une adresse IP pour la passerelle peut être attaquée depuis le réseau Internet public.

Aucune activité après « createSecret »

Les problèmes suivants peuvent entraîner l'arrêt de la rotation après createSecret :

Les ACL de réseau VPC n'autorisent pas le trafic HTTPS entrant et sortant.

Pour plus d'informations, consultez la rubrique Contrôle du trafic vers les sous-réseaux avec des ACL de réseau dans le Guide de l'utilisateur Amazon VPC.

La configuration du délai d'expiration de la fonction Lambda est trop courte pour effectuer la tâche.

Pour plus d'informations, consultez Configuration des options de fonction Lambda dans le Guide du développeur AWS Lambda .

Le point de terminaison d'un VPC Secrets Manager n'autorise pas les CIDR du VPC à l'entrée dans les groupes de sécurité attribués.

Pour plus d'informations, consultez la rubrique Contrôler le trafic vers les ressources à l'aide de groupes de sécurité dans le Guide de l'utilisateur Amazon VPC.

La stratégie de point de terminaison d'un VPC Secrets Manager n'autorise pas Lambda à utiliser le point de terminaison d'un VPC.

Pour plus d’informations, consultez Utilisation d'un point de terminaison d'un VPC AWS Secrets Manager.

Le secret utilise la rotation des utilisateurs en alternance, le secret du superutilisateur est géré par Amazon RDS et la fonction Lambda ne peut pas accéder à l'API RDS.

Pour une rotation alternée des utilisateurs lorsque le secret du superutilisateur est géré par un autre AWS service, la fonction de rotation Lambda doit pouvoir appeler le point de terminaison du service pour obtenir les informations de connexion à la base de données. Nous vous recommandons de configurer un point de terminaison d'un VPC pour le service de base de données. Pour plus d’informations, consultez :

• API Amazon RDS et points de terminaison d'un VPC d'interface dans le Guide de l'utilisateur Amazon RDS.

• Utilisation des points de terminaison VPC dans le Guide de gestion Amazon Redshift.

Erreur : « L'accès à KMS n'est pas autorisé »

Si vous voyez ClientError: An error occurred (AccessDeniedException) when calling the GetSecretValue operation: Access to KMS is not allowed, la fonction de rotation n'est pas autorisée à déchiffrer le secret à l'aide de la clé KMS qui a été utilisée pour le chiffrer. La stratégie d'autorisation peut contenir une condition qui limite le contexte de chiffrement à un secret spécifique. Pour plus d'informations sur l'autorisation requise, veuillez consulter la rubrique Déclaration de stratégie pour une clé gérée par le client.

Erreur : « Key is missing from secret JSON » (Le fichier JSON secret ne contient pas de clé)

Une fonction de rotation Lambda nécessite que la valeur de secret se trouve dans une structure JSON spécifique. Si vous voyez cette erreur, il se peut que le fichier JSON ne dispose pas d'une clé à laquelle la fonction de rotation a essayé d'accéder. Pour plus d'informations sur la structure JSON de chaque type de secret, consultez Structure JSON des AWS Secrets Manager secrets .

Erreur : « SetSecret: Unable to log into database » (SetSecret : connexion à la base de données impossible)

Les problèmes suivants peuvent entraîner cette erreur :

La fonction de rotation ne peut pas accéder à la base de données.

Si la durée de la tâche est longue, par exemple plus de 5 000 ms, il est possible que la fonction de rotation Lambda ne parvienne pas à accéder à la base de données via le réseau.

Si votre base de données ou votre service est en cours d'exécution sur une instance Amazon EC2 dans un VPC, nous vous recommandons de configurer votre fonction Lambda de sorte qu'elle s'exécute dans le même VPC. La fonction de rotation peut alors communiquer directement avec votre service. Pour plus d'informations, consultez Configuring VPC access (Configuration de l'accès VPC).

Pour permettre à la fonction Lambda d'accéder à la base de données ou au service, vous devez vous assurer que les groupes de sécurité attachés à votre fonction de rotation Lambda autorisent les connexions sortantes vers la base de données ou le service. Vous devez également vous assurer que les groupes de sécurité attachés à votre base de données ou service autorisent les connexions entrantes depuis la fonction de rotation Lambda.

Les informations d'identification contenues dans le secret sont incorrectes.

Si la durée de la tâche est courte, il se peut que la fonction de rotation Lambda ne parvienne pas à s'authentifier à l'aide des informations d'identification contenues dans le secret. Vérifiez les informations d'identification en vous connectant manuellement avec les informations contenues dans les AWSPREVIOUS versions AWSCURRENT et du secret à l'aide de la AWS CLI commande get-secret-value.

La base de données utilise scram-sha-256 pour crypter les mots de passe.

Si votre base de données est Aurora PostgreSQL version 13 ou une version plus récente et utilise scram-sha-256 pour crypter les mots de passe, mais que la fonction de rotation utilise la libpq version 9 ou une version moins récente qui ne prend pas en charge scram-sha-256, la fonction de rotation ne peut pas se connecter à la base de données.

Pour déterminer quels utilisateurs de base de données utilisent le chiffrement scram-sha-256

• Consultez la section Vérification de la présence d'utilisateurs utilisant des mots de passe (français non garanti) dans le journal SCRAM Authentication (Authentification SCRAM ) dans RDS pour PostgreSQL 13 (français non garanti).

Pour déterminer quelle version de libpq votre fonction de rotation utilise

1. Sur un ordinateur Linux, sur la console Lambda, accédez à votre fonction de rotation et téléchargez le package de déploiement. Décompressez le fichier zip dans un répertoire de travail.

2. Dans le répertoire de travail d'une ligne de commande, exécutez :

   readelf -a libpq.so.5 | grep RUNPATH

3. Si vous voyez la chaîne PostgreSQL-9.4.x, ou toute version majeure inférieure à 10, cela signifie que la fonction de rotation n'est pas prise en charge scram-sha-256.

   • Sortie pour une fonction de rotation qui ne prend pas en charge scram-sha-256 :

     0x000000000000001d (RUNPATH) Library runpath: [/local/p4clients/pkgbuild-a1b2c/workspace/build/PostgreSQL/PostgreSQL-9.4.x_client_only.123456.0/AL2_x86_64/DEV.STD.PTHREAD/build/private/tmp/brazil-path/build.libfarm/lib:/local/p4clients/pkgbuild-a1b2c/workspace/src/PostgreSQL/build/private/install/lib]

   • Sortie pour une fonction de rotation prenant en charge scram-sha-256 :

     0x000000000000001d (RUNPATH) Library runpath: [/local/p4clients/pkgbuild-a1b2c/workspace/build/PostgreSQL/PostgreSQL-10.x_client_only.123456.0/AL2_x86_64/DEV.STD.PTHREAD/build/private/tmp/brazil-path/build.libfarm/lib:/local/p4clients/pkgbuild-a1b2c/workspace/src/PostgreSQL/build/private/install/lib]

Note

Si vous avez configuré la rotation automatique des secrets avant le 30 décembre 2021, votre fonction de rotation a intégré une ancienne version de libpq qui ne prend pas en charge scram-sha-256. Afin de prendre en charge scram-sha-256, vous devez recréer votre fonction de rotation.

La base de données nécessite un accès SSL/TLS.

Si votre base de données nécessite une connexion SSL/TLS, mais que la fonction de rotation utilise une connexion non chiffrée, la fonction de rotation ne peut pas se connecter à la base de données. Les fonctions de rotation pour Amazon RDS (sauf Oracle et Db2) et Amazon DocumentDB utilisent automatiquement le protocole SSL (Secure Socket Layer) ou le protocole TLS (Transport Layer Security) pour se connecter à votre base de données, si elle est disponible. Sinon, elles utilisent une connexion non chiffrée.

Note

Si vous avez configuré la rotation automatique des secrets avant le 20 décembre 2021, votre fonction de rotation peut être basée sur un modèle plus ancien qui ne prenait pas en charge les protocoles SSL/TLS. Pour prendre en charge les connexions utilisant les protocoles SSL/TLS, vous devez recréer votre fonction de rotation.

Pour déterminer quand votre fonction de rotation a été créée

1. Dans la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/, ouvrez votre secret. Dans la section Rotation configuration (Configuration de la rotation), sous Lambda rotation function (Fonction de rotation Lambda), vous pouvez voir Lambda function ARN (ARN de la fonction Lambda), par exemple, arn:aws:lambda:aws-region:123456789012:function:SecretsManagerMyRotationFunction . Copiez le nom de la fonction à partir de la fin de l'ARN. Dans l'exemple présent, il s'agit de SecretsManagerMyRotationFunction .

2. Dans la AWS Lambda console https://console.aws.amazon.com/lambda/, sous Fonctions, collez le nom de votre fonction Lambda dans le champ de recherche, choisissez Enter, puis choisissez la fonction Lambda.

3. Dans la page des détails de la fonction, dans l'onglet Configuration, sous Tags (Balises), copiez la valeur à côté de la clé aws:cloudformation:stack-name.

4. Dans la AWS CloudFormation console https://console.aws.amazon.com/cloudformation, sous Stacks, collez la valeur clé dans le champ de recherche, puis choisissez Enter.

5. La liste des piles est filtrée afin que seule la pile qui a créé la fonction de rotation Lambda apparaisse. Dans la colonne Created date (Date de création), affichez la date à laquelle la pile a été créée. Il s'agit de la date à laquelle la fonction de rotation Lambda a été créée.

Erreur : « Impossible d'importer le module ''lambda_function'' »

Cette erreur peut s'afficher si vous exécutez une fonction Lambda antérieure qui a été automatiquement mise à niveau de Python 3.7 vers une version plus récente de Python. Pour résoudre l'erreur, vous pouvez rétablir la version de la fonction Lambda vers Python 3.7, puis Mise à jour d'une fonction de rotation existante depuis Python 3.7 vers 3.9. Pour plus d'informations, veuillez consulter la rubrique Pourquoi la rotation de ma fonction Lambda Secrets Manager a-t-elle échoué avec le message d'erreur « module pg introuvable » ? dans AWS  re:Post.

Mise à jour d'une fonction de rotation existante depuis Python 3.7 vers 3.9

Certaines fonctions de rotation créées avant novembre 2022 utilisaient Python 3.7. Le AWS SDK pour Python a cessé de prendre en charge Python 3.7 en décembre 2023. Pour plus d'informations, consultez les mises à jour de la politique de support de Python pour AWS les SDK et les outils. Pour passer à une nouvelle fonction de rotation utilisant Python 3.9, vous pouvez ajouter une propriété d'exécution à une fonction de rotation existante ou recréer la fonction de rotation.

Pour rechercher quelles fonctions de rotation Lambda utilisent Python 3.7

1. Connectez-vous à la AWS Lambda console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/lambda/.

2. Dans la liste des fonctions, filtrez pour SecretsManager.

3. Dans la liste filtrée des fonctions, sous Exécution, recherchez Python 3.7.

Pour effectuer la mise à jour vers Python 3.9 :

• Option 1 : recréer la fonction de rotation en utilisant AWS CloudFormation
• Option 2 : mettre à jour le temps d'exécution de la fonction de rotation existante à l'aide de AWS CloudFormation
• Option 3 : pour les AWS CDK utilisateurs, mettez à niveau la bibliothèque CDK

Option 1 : recréer la fonction de rotation en utilisant AWS CloudFormation

Lorsque vous utilisez la console Secrets Manager pour activer la rotation, Secrets Manager crée AWS CloudFormation les ressources nécessaires, y compris la fonction de rotation Lambda. Si vous avez utilisé la console pour activer la rotation ou si vous avez créé la fonction de rotation à l'aide d'une AWS CloudFormation pile, vous pouvez utiliser la même AWS CloudFormation pile pour recréer la fonction de rotation sous un nouveau nom. La nouvelle fonction utilise la version la plus récente de Python.

Pour trouver la AWS CloudFormation pile à l'origine de la fonction de rotation

• Dans la page des détails de la fonction Lambda, sous l'onglet Configuration, choisissez Balises. Afficher l'ARN en regard de aws:cloudformation:stack-id.

  Le nom de la pile est intégré dans l'ARN, comme illustré dans l'exemple suivant.

  • ARN : arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nom de la pile : SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Pour recréer une fonction de rotation (AWS CloudFormation)

1. Dans AWS CloudFormation, recherchez la pile par son nom, puis choisissez Mettre à jour.

   Si une boîte de dialogue vous recommande de mettre à jour la pile racine s'affiche, choisissez Accéder à la pile racine, puis choisissez Mettre à jour.

2. Sur la page Mettre à jour la pile, choisissez Modifier le modèle dans Designer, puis Afficher dans Designer.

3. Dans le Designer, dans le code du modèle, dans SecretRotationScheduleHostedRotationLambda, remplacez la valeur de "functionName": "SecretsManagerTestRotationRDS" par un nouveau nom de fonction, par exemple en JSON, "functionName": "SecretsManagerTestRotationRDSupdated"

4. Continuez à suivre le flux de travail de la AWS CloudFormation pile, puis choisissez Soumettre.

Option 2 : mettre à jour le temps d'exécution de la fonction de rotation existante à l'aide de AWS CloudFormation

Lorsque vous utilisez la console Secrets Manager pour activer la rotation, Secrets Manager crée AWS CloudFormation les ressources nécessaires, y compris la fonction de rotation Lambda. Si vous avez utilisé la console pour activer la rotation ou si vous avez créé la fonction de rotation à l'aide d'une AWS CloudFormation pile, vous pouvez utiliser la même AWS CloudFormation pile pour mettre à jour le temps d'exécution de la fonction de rotation.

Pour trouver la AWS CloudFormation pile à l'origine de la fonction de rotation

• Dans la page des détails de la fonction Lambda, sous l'onglet Configuration, choisissez Balises. Afficher l'ARN en regard de aws:cloudformation:stack-id.

  Le nom de la pile est intégré dans l'ARN, comme illustré dans l'exemple suivant.

  • ARN : arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nom de la pile : SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Pour mettre à jour l'exécution d'une fonction de rotation (AWS CloudFormation)

1. Dans AWS CloudFormation, recherchez la pile par son nom, puis choisissez Mettre à jour.

   Si une boîte de dialogue vous recommande de mettre à jour la pile racine s'affiche, choisissez Accéder à la pile racine, puis choisissez Mettre à jour.

2. Sur la page Mettre à jour la pile, choisissez Modifier le modèle dans Designer, puis Afficher dans Designer.

3. Dans le concepteur, dans le modèle JSON, pour leSecretRotationScheduleHostedRotationLambda, sousProperties, sousParameters, ajouter "runtime": "python3.9"

4. Continuez à suivre le flux de travail de la AWS CloudFormation pile, puis choisissez Soumettre.

Option 3 : pour les AWS CDK utilisateurs, mettez à niveau la bibliothèque CDK

Si vous avez utilisé la version 2.94.0 AWS CDK antérieure pour configurer la rotation de votre secret, vous pouvez mettre à jour la fonction Lambda en passant à la version 2.94.0 ou ultérieure. Pour plus d'informations, consultez le Guide du développeur AWS Cloud Development Kit (AWS CDK) v2.