Solução de problemas de alternância do AWS Secrets Manager

1. Analise os logs do CloudWatch:

   • Procure por mensagens de erro específicas ou comportamentos inesperados nos logs das funções do Lambda

   • Verifique se todas as etapas de alternância (CreateSecret, SetSecret, TestSecret, FinishSecret) estão sendo tentadas

2. Analise as chamadas de API durante a alternância:

   • Evite fazer chamadas de API mutantes no segredo durante a alternância do Lambda

   • Certifique-se de que não haja condições de corrida entre as chamadas RotateSecret e PutSecretValue

3. Verifique a lógica da função do Lambda:

   • Confirme se você está usando o código de amostra da AWS mais recente para a alternância de segredos

   • Se estiver usando código personalizado, revise-o para verificar o tratamento adequado de todas as etapas da alternância

4. Verifique a configuração da rede:

   • Verifique se as regras do grupo de segurança permitem que a função do Lambda acesse o banco de dados

   • Garanta o acesso adequado ao endpoint da VPC ou ao endpoint público para o Secrets Manager

5. Teste as versões do segredo:

   • Verifique se a versão AWS/CURRENT do segredo permite acesso ao banco de dados.

   • Verifique se as versões AWSPREVIOUS ou AWSPENDING são válidas

6. Limpe as alternâncias pendentes:

   • Se a alternância falhar consistentemente, limpe o rótulo de teste AWSPENDING e tente novamente a alternância

7. Verifique as configurações de simultaneidade do Lambda:

   • Verifique se as configurações de simultaneidade são apropriadas para sua workload

   • Se você suspeitar de problemas de simultaneidade, consulte a seção “Solução de falhas de alternância relacionadas à simultaneidade”

Para descobrir quais funções de alternância do Lambda usam o Python 3.7

1. Faça login no Console de gerenciamento da AWS e abra o console do AWS Lambda em https://console.aws.amazon.com/lambda/.

2. Na lista de Funções, filtre por SecretsManager.

3. Na lista filtrada de funções, em Runtime, busque o Python 3.7.

Para encontrar a pilha do CloudFormation que criou a função de alternância

• Na página de detalhes da função do Lambda, na guia Configuração, escolha Tags. Visualize o ARN próximo à aws:cloudformation:stack-id.

  O nome da pilha está incorporado no ARN, conforme exibido no exemplo a seguir.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nome da pilha: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Para recriar uma função de alternância (CloudFormation)

1. No CloudFormation, busque a pilha pelo nome e, em seguida, escolha Atualizar.

   Se aparecer uma caixa de diálogo recomendando a atualização da pilha raiz, escolha Ir para a pilha raiz e, em seguida, escolha Atualizar.

2. Na página Atualizar pilha, em Preparar modelo, escolha Editar no Application Composer e, em Editar modelo no Application Composer, escolha o botão Editar no Application Composer.

3. No Application Composer, faça o seguinte:

   1. No código do modelo, em SecretRotationScheduleHostedRotationLambda, substitua o valor por "functionName": "SecretsManagerTestRotationRDS" com um novo nome de função. Por exemplo, em JSON, "functionName": "SecretsManagerTestRotationRDSupdated".

   2. Escolha Atualizar modelo.

   3. Na caixa de diálogo Prosseguir para CloudFormation, escolha Confirmar e prosseguir para CloudFormation.

4. Continue com o fluxo de trabalho da pilha do CloudFormation e escolha Enviar.

Para encontrar a pilha do CloudFormation que criou a função de alternância

• Na página de detalhes da função do Lambda, na guia Configuração, escolha Tags. Visualize o ARN próximo à aws:cloudformation:stack-id.

  O nome da pilha está incorporado no ARN, conforme exibido no exemplo a seguir.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nome da pilha: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Para atualizar o runtime de uma função de alternância (CloudFormation)

1. No CloudFormation, busque a pilha pelo nome e, em seguida, escolha Atualizar.

   Se aparecer uma caixa de diálogo recomendando a atualização da pilha raiz, escolha Ir para a pilha raiz e, em seguida, escolha Atualizar.

2. Na página Atualizar pilha, em Preparar modelo, escolha Editar no Application Composer e, em Editar modelo no Application Composer, escolha o botão Editar no Application Composer.

3. No Application Composer, faça o seguinte:

   1. No modelo JSON, para SecretRotationScheduleHostedRotationLambda, em Properties, em Parameters, adicione "runtime": "python3.9".

   2. Escolha Atualizar modelo.

   3. Na caixa de diálogo Prosseguir para CloudFormation, escolha Confirmar e prosseguir para CloudFormation.

4. Continue com o fluxo de trabalho da pilha do CloudFormation e escolha Enviar.

Para descobrir quais funções de alternância do Lambda usam o Python 3.9

1. Faça login no Console de gerenciamento da AWS e abra o console do AWS Lambda em https://console.aws.amazon.com/lambda/.

2. Na lista de Funções, filtre por SecretsManager.

3. Na lista filtrada de funções, em Runtime, busque por Python 3.9.

Atualização da função de alternância Lambda para incluir RotationToken

1. Baixe o código da função do Lambda

   • Abra o console do Lambda

   • Selecione Funções no painel de navegação

   • Selecione sua função de alternância de segredos do Lambda em Nome da função

   • Em Download, escolha um dentre Códigos de função .zip, Arquivo AWS SAM, Ambos

   • Escolha OK para salvar a função em sua máquina local.

2. Editar o Lambda_handler

   Inclua o parâmetro rotation_token na etapa create_secret para alternância entre contas:

   
   def lambda_handler(event, context):
       """Secrets Manager Rotation Template
   
       This is a template for creating an AWS Secrets Manager rotation lambda
   
       Args:
           event (dict): Lambda dictionary of event parameters. These keys must include the following:
               - SecretId: The secret ARN or identifier
               - ClientRequestToken: The ClientRequestToken of the secret version
               - Step: The rotation step (one of createSecret, setSecret, testSecret, or finishSecret)
               - RotationToken: the rotation token to put as parameter for PutSecretValue call
   
           context (LambdaContext): The Lambda runtime information
   
       Raises:
           ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
           ValueError: If the secret is not properly configured for rotation
   
           KeyError: If the event parameters do not contain the expected keys
   
       """
       arn = event['SecretId']
       token = event['ClientRequestToken']
       step = event['Step']
       # Add the rotation token
       rotation_token = event['RotationToken']
   
       # Setup the client
       service_client = boto3.client('secretsmanager', endpoint_url=os.environ['SECRETS_MANAGER_ENDPOINT'])
   
       # Make sure the version is staged correctly
       metadata = service_client.describe_secret(SecretId=arn)
       if not metadata['RotationEnabled']:
           logger.error("Secret %s is not enabled for rotation" % arn)
           raise ValueError("Secret %s is not enabled for rotation" % arn)
       versions = metadata['VersionIdsToStages']
       if token not in versions:
           logger.error("Secret version %s has no stage for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s has no stage for rotation of secret %s." % (token, arn))
       if "AWSCURRENT" in versions[token]:
           logger.info("Secret version %s already set as AWSCURRENT for secret %s." % (token, arn))
           return
       elif "AWSPENDING" not in versions[token]:
           logger.error("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
       # Use rotation_token
       if step == "createSecret":
           create_secret(service_client, arn, token, rotation_token)
   
       elif step == "setSecret":
           set_secret(service_client, arn, token)
       
       elif step == "testSecret":
           test_secret(service_client, arn, token)
           
       elif step == "finishSecret":
           finish_secret(service_client, arn, token)
           
       else:
           raise ValueError("Invalid step parameter")            
             

3. Edição do código create_secret

   Revise a função create_secret para aceitar e usar o parâmetro rotation_token:

   
   # Add rotation_token to the function
   def create_secret(service_client, arn, token, rotation_token):
   """Create the secret
   
   This method first checks for the existence of a secret for the passed in token. If one does not exist, it will generate a
   new secret and put it with the passed in token.
   
   Args:
   service_client (client): The secrets manager service client
   
   arn (string): The secret ARN or other identifier
   
   token (string): The ClientRequestToken associated with the secret version
   
   rotation_token (string): the rotation token to put as parameter for PutSecretValue call
   
   Raises:
   ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
   """
   # Make sure the current secret exists
   service_client.get_secret_value(SecretId=arn, VersionStage="AWSCURRENT")
   
   # Now try to get the secret version, if that fails, put a new secret
   try:
   service_client.get_secret_value(SecretId=arn, VersionId=token, VersionStage="AWSPENDING")
   logger.info("createSecret: Successfully retrieved secret for %s." % arn)
   except service_client.exceptions.ResourceNotFoundException:
   # Get exclude characters from environment variable
   exclude_characters = os.environ['EXCLUDE_CHARACTERS'] if 'EXCLUDE_CHARACTERS' in os.environ else '/@"\'\\'
   # Generate a random password
   passwd = service_client.get_random_password(ExcludeCharacters=exclude_characters)
   
   # Put the secret, using rotation_token
   service_client.put_secret_value(SecretId=arn, ClientRequestToken=token, SecretString=passwd['RandomPassword'], VersionStages=['AWSPENDING'], RotationToken=rotation_token)
   logger.info("createSecret: Successfully put secret for ARN %s and version %s." % (arn, token))
             

4. Transferência do código atualizado da função do Lambda

   Depois de atualizar o código da função do Lambda, transfira-o para alternar seu segredo.

1. Verifique e ajuste as configurações de simultaneidade do Lambda:

   • Verifique se reserved_concurrent_executions não está definido como muito baixo (por exemplo, 1)

   • Se estiver usando simultaneidade reservada, defina para pelo menos 10

   • Considere o uso de simultaneidade sem reservas para obter mais flexibilidade

2. Para simultaneidade provisionada:

   • Não defina explicitamente o parâmetro de simultaneidade provisionado (por exemplo, no Terraform).

   • Se você precisar configurá-lo, use um valor de pelo menos 10.

   • Teste minuciosamente para garantir que o valor escolhido funcione para seu caso de uso.

3. Monitore e ajuste a simultaneidade:

   • Calcule a simultaneidade usando esta fórmula: Concorrência = (média de solicitações por segundo) * (duração média da solicitação em segundos). Para obter mais informações, consulte Estimativa de simultaneidade reservada.

   • Observe e registre os valores durante as alternâncias para determinar as configurações de simultaneidade apropriadas.

   • Tenha cuidado ao definir valores baixos de simultaneidade. Eles podem causar controle de utilização se não houver threads de execução suficientes disponíveis.