使用无服务器，如何在 AWS lambda 函数中添加私有密钥作为环境变量?

Question

我需要使用无服务器和密钥将 AWS lambda 函数从文件部署到环境变量中。我不想使用 AWS 密钥/系统管理器。 如何在无服务器.yml 文件中隐藏环境变量？

当我手动上传和部署我的 nodejs AWS lambda 函数时，它能够从环境变量读取数据并运行。我想使用无服务器而不是手动部署来处理这个问题。

我的无服务器 yml 文件如下：

service: sample-lambda
provider:
name: aws
runtime: nodejs10.x
stage: dev
region: us-east-2
apiName: getData
profile: MYAWS
timeout: 300
memorySize: 512
functions:
getData:
handler: handler.getData
name: getData
description:  API to get data from server
environment:
key1: 12345
key2: abcdef
server: sample
events:
- http:  
path: getData
method: post
cors: true

Answer 1

作为接受答案的替代方案，如果您像我一样不喜欢修改额外的秘密文件，您还可以使用 AWS 系统管理器参数存储服务。您可以存储您的 Amazon 密钥、数据库连接、用户名和密码。

此方法的优点是，只需保存一次密钥，就可以在多个项目中使用它们，只要它们在同一区域中创建即可。

要使用 AWS CLI 行将环境变量保存在 AWS 参数存储中，请执行以下操作：

aws --profile default --region us-west-2 ssm put-parameter --name KEY1 --value 123456 --type String
aws --profile default --region us-west-2 ssm put-parameter --name KEY2 --value abcdef --type String
aws --profile default --region us-west-2 ssm put-parameter --name SERVER --value sample --type String

要使用控制台将环境变量保存在 AWS 参数存储中，请执行以下操作：

1. 登录到 AWS 控制台。
2. 搜索系统管理器。
3. 在"应用程序管理"下，查找"参数存储"。
4. 单击创建参数按钮。

要使用无服务器 .yml 文件中的密钥，请执行以下操作：

service: sample-lambda-service
custom:
config:
KEY1: ${ssm:KEY1}
KEY2: ${ssm:KEY2}
SERVER: ${ssm:SERVER}
provider:
name: aws
stage: prod
timeout: 20
memorySize: 512
region: us-west-2
runtime: nodejs12.x
endpointType: regional
environment: ${self:custom.config}
. . .

然后，您可以在处理程序.js文件中将它们用作普通环境变量，如下所示：

'use strict'
const AWS = require("aws-sdk");
const s3 = new AWS.S3({
credentials: {
accessKeyId: process.env.KEY1,
secretAccessKey: process.env.KEY2,
},
});
let server = process.env.SERVER;
. . .

Answer 2

使用 npm 中的无服务器机密插件包并安装它。

您可以为不同的环境创建不同的文件。 当你的阶段是开发阶段时，使用文件机密.dev.yml 当阶段是生产阶段时，请使用文件机密.生产.yml

创建一个文件 secrets.dev.yml 并添加数据，如下所示：

key1: 123456
key2: abcdef
server: sample

要使用密码加密您的secrets.dev.yml文件：

serverless encrypt --stage dev --password 'YOUR_PASSWORD'

要使用密码解密您的secrets.dev.yml文件，请执行以下操作：

serverless encrypt --stage dev --password 'YOUR_PASSWORD'

注意：在部署 lambda 函数之前，请确保 secrets.dev.yml 文件位于解密视图中

更新无服务器.yml，如下所示：

service: sample-lambda
plugins:
- serverless-secrets-plugin
custom:
secrets: ${file(secrets.${opt:stage, self:provider.stage}.yml)}
provider:
name: aws
runtime: nodejs10.x
stage: dev
region: us-east-2
apiName: getData
profile: MYAWS
timeout: 300
memorySize: 512
functions:
getData:
handler: handler.getData
name: getData
description:  API to get data from server
environment:
key1: ${self:custom.secrets.key1}
key2: ${self:custom.secrets.key2}
server: ${self:custom.secrets.server}
events:
- http:  
path: getData
method: post
cors: true