AWS Lambda：如何将密码存储到外部API？
我正在构build基于AWS Lambda的监控工具。 给定一组指标，Lambdas应该能够使用Twilio API发送短信。 为了能够使用API，Twilio提供了一个账号SID和一个授权令牌。
我应该如何以及在哪里存储这些秘密？
我目前正在考虑使用AWS KMS，但可能还有其他更好的解决scheme。
这是我想出来的。 我正在使用AWS KMS将我的秘密encryption成一个文件，并将代码上传到AWS Lambda。 然后，当我需要使用它时，我会对它进行解密。
以下是要遵循的步骤。
首先创build一个KMS密钥。 你可以在这里find文档： http : //docs.aws.amazon.com/kms/latest/developerguide/create-keys.html
然后encryption你的秘密，并把结果放到一个文件中。 这可以通过CLI来实现：
aws kms encrypt --key-id some_key_id --plaintext "This is the scret you want to encrypt" --query CiphertextBlob --output text | base64 -D > ./encrypted-secret 然后，您需要将该文件作为Lambda的一部分进行上传。 您可以解密和使用Lambda中的秘密如下。
var fs = require('fs'); var AWS = require('aws-sdk'); var kms = new AWS.KMS({region:'eu-west-1'}); var secretPath = './encrypted-secret'; var encryptedSecret = fs.readFileSync(secretPath); var params = { CiphertextBlob: encryptedSecret }; kms.decrypt(params, function(err, data) { if (err) console.log(err, err.stack); else { var decryptedSecret = data['Plaintext'].toString(); console.log(decryptedSecret); } });
我希望你会发现这有用。
从NodeJS 4.3的AWS Lambda支持开始，正确的答案是使用环境variables 。 此function与AWS KMS集成，因此您可以使用自己的主密钥来encryption秘密。
有一个Nodejs Lambda函数的蓝图，首先从kms解密一个api密钥。 它提供了一个使用承诺接口解密的简单方法。 它还为您提供angular色权限，您需要为lambda函数访问kms。 蓝图可以通过search“algorithm蓝图”
那么…这就是KMS的原因:)而且肯定比在Lambda函数中以明文存储令牌更安全，或委托给第三方服务。
如果你走这条路线，看看这个博客文章现有的使用示例，以加快和运行。 特别是，您需要将以下内容添加到您的Lambda执行angular色策略中：
"kms:Decrypt", "kms:DescribeKey", "kms:GetKeyPolicy",
上面例子的其余代码有点复杂， 在这种情况下，你应该只需要describeKey() 。
不pipe你select做什么，你都应该使用像GitMonkey这样的工具来监视你的代码库，并确保你的密钥没有被提交或推送给他们。
