Solución de problemas de rotación de rotación AWS Secrets Manager

1. Analice CloudWatch los registros:

   • Busque mensajes de error específicos o comportamientos inesperados en los registros de funciones de Lambda

   • Compruebe que se estén intentando realizar todos los pasos de rotación (CreateSecretSetSecretTestSecret,,,FinishSecret)

2. Revisa las llamadas a la API durante la rotación:

   • Evite realizar llamadas a la API mutantes en el secreto durante la rotación de Lambda

   • Asegúrese de que no haya ninguna condición de carrera entre una y otra llamada RotateSecret PutSecretValue

3. Compruebe la lógica de la función Lambda:

   • Confirme que está utilizando el código de AWS muestra más reciente para la rotación secreta

   • Si utilizas un código personalizado, revísalo para comprobar que se gestionan correctamente todos los pasos de rotación

4. Compruebe la configuración de la red:

   • Compruebe que las reglas del grupo de seguridad permiten a la función Lambda acceder a la base de datos

   • Garantice el acceso adecuado al punto final de la VPC o al punto final público para Secrets Manager

5. Pruebe las versiones de un secreto:

   • Compruebe que la AWSCURRENT versión del secreto permita el acceso a la base de datos

   • Compruebe AWSPREVIOUS si nuestras AWSPENDING versiones son válidas

6. Borrar las rotaciones pendientes:

   • Si la rotación falla constantemente, borre la etiqueta de AWSPENDING ensayo y vuelva a intentar la rotación

7. Compruebe la configuración de simultaneidad de Lambda:

   • Compruebe que la configuración de simultaneidad es adecuada para su carga de trabajo

   • Si sospecha que hay problemas de simultaneidad, consulte la sección «Solución de problemas de rotación relacionados con la simultaneidad»

Para encontrar las funciones de rotación de Lambda, utilice Python 3.7

1. Inicie sesión en AWS Management Console y abra la AWS Lambda consola en https://console.aws.amazon.com/lambda/.

2. En la lista Funciones, filtre por SecretsManager.

3. En la lista filtrada de funciones, en Tiempo de ejecución, busque Python 3.7.

Para buscar la AWS CloudFormation pila que creó la función de rotación

• En la página de detalles de la función de Lambda, seleccione la pestaña Configuración, y elija Etiquetas. Vea el ARN junto a aws:cloudformation:stack-id.

  El nombre de la pila está incrustado en el ARN, como se muestra en el siguiente ejemplo.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nombre de pila: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Para recrear una función de rotación (AWS CloudFormation)

1. En AWS CloudFormation, busque la pila por su nombre y, a continuación, seleccione Actualizar.

   Si aparece un cuadro de diálogo en el que se recomienda actualizar la pila raíz, seleccione Ir a la pila raíz y, a continuación, elija Actualizar.

2. En la página de Pila de actualizaciones, en Preparar plantilla, elija Editar en Application Composer y, a continuación, en Editar plantilla en Application Composer, elija el botón Editar en Application Composer.

3. En Application Composer, haga lo siguiente:

   1. En el código de la plantilla, en SecretRotationScheduleHostedRotationLambda, sustituya el valor para "functionName": "SecretsManagerTestRotationRDS" por un nuevo nombre de función, por ejemplo, en JSON, "functionName": "SecretsManagerTestRotationRDSupdated"

   2. Seleccione Actualizar plantilla.

   3. En el cuadro de diálogo Continuar a AWS CloudFormation, elija Confirmar y continuar a AWS CloudFormation.

4. Continúe con el flujo de trabajo de la AWS CloudFormation pila y, a continuación, elija Enviar.

Para buscar la AWS CloudFormation pila que creó la función de rotación

• En la página de detalles de la función de Lambda, seleccione la pestaña Configuración, y elija Etiquetas. Vea el ARN junto a aws:cloudformation:stack-id.

  El nombre de la pila está incrustado en el ARN, como se muestra en el siguiente ejemplo.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nombre de pila: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Para actualizar el tiempo de ejecución de una función de rotación (AWS CloudFormation)

1. En AWS CloudFormation, busque la pila por su nombre y, a continuación, seleccione Actualizar.

   Si aparece un cuadro de diálogo en el que se recomienda actualizar la pila raíz, seleccione Ir a la pila raíz y, a continuación, elija Actualizar.

2. En la página de Pila de actualizaciones, en Preparar plantilla, elija Editar en Application Composer y, a continuación, en Editar plantilla en Application Composer, elija el botón Editar en Application Composer.

3. En Application Composer, haga lo siguiente:

   1. En la plantilla JSON, para SecretRotationScheduleHostedRotationLambda, en Properties, en Parameters, agregue "runtime": "python3.9".

   2. Seleccione Actualizar plantilla.

   3. En el cuadro de diálogo Continuar a AWS CloudFormation, elija Confirmar y continuar a AWS CloudFormation.

4. Continúe con el flujo de trabajo de la AWS CloudFormation pila y, a continuación, elija Enviar.

Actualice la función de rotación Lambda para incluir RotationToken

1. Descargar el código de la función de Lambda

   • Abra la consola Lambda

   • Seleccione Functions (Funciones) en el panel de navegación.

   • Seleccione su función de rotación secreta de Lambda para el nombre de la función

   • Para descargarla, elija una de las siguientes opciones: código de función .zip, AWS SAM archivo o ambos

   • Pulse Aceptar para guardar la función en su máquina local.

2. Editar Lambda_handler

   Incluye el parámetro rotation_token en el paso create_secret para la rotación entre cuentas:

   
   def lambda_handler(event, context):
       """Secrets Manager Rotation Template
   
       This is a template for creating an AWS Secrets Manager rotation lambda
   
       Args:
           event (dict): Lambda dictionary of event parameters. These keys must include the following:
               - SecretId: The secret ARN or identifier
               - ClientRequestToken: The ClientRequestToken of the secret version
               - Step: The rotation step (one of createSecret, setSecret, testSecret, or finishSecret)
               - RotationToken: the rotation token to put as parameter for PutSecretValue call
   
           context (LambdaContext): The Lambda runtime information
   
       Raises:
           ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
           ValueError: If the secret is not properly configured for rotation
   
           KeyError: If the event parameters do not contain the expected keys
   
       """
       arn = event['SecretId']
       token = event['ClientRequestToken']
       step = event['Step']
       # Add the rotation token
       rotation_token = event['RotationToken']
   
       # Setup the client
       service_client = boto3.client('secretsmanager', endpoint_url=os.environ['SECRETS_MANAGER_ENDPOINT'])
   
       # Make sure the version is staged correctly
       metadata = service_client.describe_secret(SecretId=arn)
       if not metadata['RotationEnabled']:
           logger.error("Secret %s is not enabled for rotation" % arn)
           raise ValueError("Secret %s is not enabled for rotation" % arn)
       versions = metadata['VersionIdsToStages']
       if token not in versions:
           logger.error("Secret version %s has no stage for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s has no stage for rotation of secret %s." % (token, arn))
       if "AWSCURRENT" in versions[token]:
           logger.info("Secret version %s already set as AWSCURRENT for secret %s." % (token, arn))
           return
       elif "AWSPENDING" not in versions[token]:
           logger.error("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
       # Use rotation_token
       if step == "createSecret":
           create_secret(service_client, arn, token, rotation_token)
   
       elif step == "setSecret":
           set_secret(service_client, arn, token)
       
       elif step == "testSecret":
           test_secret(service_client, arn, token)
           
       elif step == "finishSecret":
           finish_secret(service_client, arn, token)
           
       else:
           raise ValueError("Invalid step parameter")            
             

3. Edita el código create_secret

   Revise la create_secret función para aceptar y usar el rotation_token parámetro:

   
   # Add rotation_token to the function
   def create_secret(service_client, arn, token, rotation_token):
   """Create the secret
   
   This method first checks for the existence of a secret for the passed in token. If one does not exist, it will generate a
   new secret and put it with the passed in token.
   
   Args:
   service_client (client): The secrets manager service client
   
   arn (string): The secret ARN or other identifier
   
   token (string): The ClientRequestToken associated with the secret version
   
   rotation_token (string): the rotation token to put as parameter for PutSecretValue call
   
   Raises:
   ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
   """
   # Make sure the current secret exists
   service_client.get_secret_value(SecretId=arn, VersionStage="AWSCURRENT")
   
   # Now try to get the secret version, if that fails, put a new secret
   try:
   service_client.get_secret_value(SecretId=arn, VersionId=token, VersionStage="AWSPENDING")
   logger.info("createSecret: Successfully retrieved secret for %s." % arn)
   except service_client.exceptions.ResourceNotFoundException:
   # Get exclude characters from environment variable
   exclude_characters = os.environ['EXCLUDE_CHARACTERS'] if 'EXCLUDE_CHARACTERS' in os.environ else '/@"\'\\'
   # Generate a random password
   passwd = service_client.get_random_password(ExcludeCharacters=exclude_characters)
   
   # Put the secret, using rotation_token
   service_client.put_secret_value(SecretId=arn, ClientRequestToken=token, SecretString=passwd['RandomPassword'], VersionStages=['AWSPENDING'], RotationToken=rotation_token)
   logger.info("createSecret: Successfully put secret for ARN %s and version %s." % (arn, token))
             

4. Cargue el código de la función de Lambda actualizado

   Tras actualizar el código de la función Lambda, cárguelo para rotar su secreto.

1. Compruebe y ajuste la configuración de simultaneidad de Lambda:

   • Compruebe que no reserved_concurrent_executions esté demasiado bajo (por ejemplo, 1)

   • Si utiliza la simultaneidad reservada, configúrela en al menos 10

   • Considere la posibilidad de utilizar la simultaneidad sin reservas para una mayor flexibilidad

2. Para simultaneidad aprovisionada:

   • No establezca el parámetro de simultaneidad aprovisionado de forma explícita (por ejemplo, en Terraform).

   • Si debe configurarlo, utilice un valor de al menos 10.

   • Pruébelo minuciosamente para asegurarse de que el valor elegido se adapte a su caso de uso.

3. Supervisa y ajusta la simultaneidad:

   • Calcule la simultaneidad mediante esta fórmula: Simultaneidad = (media de solicitudes por segundo) * (duración media de las solicitudes en segundos). Para obtener más información, consulte Estimación de la simultaneidad reservada.

   • Observe y registre los valores durante las rotaciones para determinar la configuración de simultaneidad adecuada.

   • Tenga cuidado al establecer valores de simultaneidad bajos. Pueden provocar una ralentización si no hay suficientes subprocesos de ejecución disponibles.