Função do Lambda de alternância

Modo de foco

Função do Lambda de alternância - AWS Secrets Manager

Para muitos tipos de segredos, o Secrets Manager usa uma AWS Lambda função para atualizar o segredo e o banco de dados ou serviço. Para obter mais informações sobre os custos do uso de uma função do Lambda, consulte Preços.

Para alguns Segredos gerenciados por outros serviços, você usa alternância gerenciada. Para usar Alternância gerenciada, primeiro você cria o segredo por meio do serviço de gerenciamento.

Durante a alternância, o Secrets Manager registra eventos de logs que indicam o estado de alternância. Para obter mais informações, consulte AWS Secrets Manager Registre eventos com AWS CloudTrail.

Para alternar um segredo, o Secrets Manager chama uma função Lambda de acordo com o cronograma de rotação que você configurou. Se você também atualizar manualmente seu valor secreto enquanto a alternância automática estiver configurada, o Secrets Manager considerará essa alternância válida ao calcular a próxima data de alternância.

Durante a alternância, o Secrets Manager chama a mesma função várias vezes, cada vez com parâmetros diferentes. O Secrets Manager invoca a função com a seguinte estrutura de parâmetros de solicitação JSON:


{
    "Step" : "request.type",
    "SecretId" : "string",
    "ClientRequestToken" : "string",
    "RotationToken" : "string"
}

Parâmetros:

Etapa: a etapa de alternância: create_secret, set_secret, test_secret ou finish_secret. Para obter mais informações, consulte Quatro etapas em uma função de alternância.
SecretId— O ARN do segredo para rotacionar.
ClientRequestToken— Um identificador exclusivo para a nova versão do segredo. Esse valor ajuda a garantir a idempotência. Para obter mais informações, consulte PutSecretValue: ClientRequestToken na Referência AWS Secrets Manager da API.
RotationToken— Um identificador exclusivo que indica a origem da solicitação. Necessário para rotação secreta usando uma função assumida ou rotação entre contas, na qual você alterna um segredo em uma conta usando uma função de rotação Lambda em outra conta. Em ambos os casos, a função de rotação assume uma função do IAM para chamar o Secrets Manager e, em seguida, o Secrets Manager usa o token de rotação para validar a identidade da função do IAM.