使用动态引用以指定模板值

动态引用提供了一种简洁、强大的方法，用于指定在堆栈模板内的其他服务中存储和管理的外部值，例如 Systems Manager Parameter Store 和 Amazon Secrets Manager。当您使用动态引用时，CloudFormation 会在堆栈和更改集合操作期间在必要时检索指定引用的值。

CloudFormation 目前支持以下动态引用模式：

使用动态引用时的注意事项

以下是使用动态引用时应考虑的注意事项：

在堆栈模板中指定动态引用

动态引用遵循以下模式：

'{{resolve:service-name:reference-key}}' 或 '{{resolve:ssm:[a-zA-Z0-9_.\-/]+(:\d+)?}}'。

SSM 参数

使用 ssm 动态引用，将在类型为 String 或 StringList 的 Systems Manager Parameter Store 中存储的值包含在模板中。

引用模式

对于 SSM 参数，reference-key 分段由参数名称和版本号组成。请使用以下模式：

'{{resolve:ssm:parameter-name:version}}'

您的引用必须遵循以下参数名称和版本的正则表达式模式：

'{{resolve:ssm:[a-zA-Z0-9_.-/]+:\\d+}}'

示例

以下示例使用 ssm 动态引用将 S3 存储桶的访问控制设置为在 Systems Manager Parameter Store 中存储的参数值。如指定的那样，CloudFormation 将使用 S3AccessControl 参数的版本 2 进行堆栈和更改集操作。

  "MyS3Bucket": {
    "Type": "AWS::S3::Bucket",
    "Properties": {
      "AccessControl": "{{resolve:ssm:S3AccessControl:2}}"
    }
  }

  MyS3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      AccessControl: '{{resolve:ssm:S3AccessControl:2}}' 

要指定一个存储在 Systems Manager Parameter Store 中的参数，您必须有权为指定的参数调用 GetParameters。有关更多信息，请参阅《Amazon Systems Manager 用户指南》中的控制对 Systems Manager 参数的访问权限。

使用 ssm 动态引用模式时需要注意的其他注意事项：

SSM 安全字符串参数

使用 ssm-secure 动态引用模式在模板中指定 Amazon Systems Manager SecureString 类型参数。对于 ssm-secure 动态引用，Amazon CloudFormation 绝不会存储实际参数值。Amazon CloudFormation 在堆栈和更改集的创建和更新操作期间访问参数值。目前，只能将安全字符串参数用于支持 ssm-secure 动态引用模式的资源属性。

安全字符串参数是需要以安全的方式存储和引用的任何敏感数据。也就是说，您不希望用户以明文形式更改或引用的数据，例如密码或许可证密钥。有关安全字符串的更多信息，请参阅《Amazon Systems Manager 用户指南》中的使用安全字符串参数。

安全字符串参数值不存储在 CloudFormation 中，也不会在任何 API 调用结果中返回。

引用模式

对于 ssm-secure 动态引用，reference-key 分段由参数名称和版本号组成。请使用以下模式：

'{{resolve:ssm-secure:parameter-name:version}}'

您的引用必须遵循以下参数名称和版本的正则表达式模式：

'{{resolve:ssm-secure:[a-zA-Z0-9_.-/]+:\\d+}}'

示例

以下示例使用 ssm-secure 动态引用将 IAM 用户的密码设置为在 Systems Manager Parameter Store 中存储的安全字符串。如指定的那样，CloudFormation 将使用 IAMUserPassword 参数的版本 10 进行堆栈和更改集操作。

  "MyIAMUser": {
    "Type": "AWS::IAM::User",
    "Properties": {
      "UserName": "MyUserName",
      "LoginProfile": {
        "Password": "{{resolve:ssm-secure:IAMUserPassword:10}}"
      }
    }
  }

  MyIAMUser:
    Type: AWS::IAM::User
    Properties:
      UserName: 'MyUserName'
      LoginProfile:
        Password: '{{resolve:ssm-secure:IAMUserPassword:10}}'

使用 ssm-secure 动态引用模式时需要注意的其他注意事项：

对安全字符串支持动态参数模式的资源

支持 ssm-secure 动态引用模式的资源目前包括：

Secrets Manager 密钥

使用 secretsmanager 动态引用可检索在 Secrets Manager 中存储的全部密钥或密钥值，以便在模板中使用。密钥可以是数据库凭证、密码、第三方 API 密钥或任意文本。使用 Secrets Manager，您可以集中存储和控制对这些密钥的访问，以便使用对 Secrets Manager 的 API 调用来替换代码中的硬编码凭证（包括密码），以编程方式检索密钥。有关更多信息，请参阅《Amazon Secrets Manager 用户指南》中的什么是 Amazon Secrets Manager？。

使用 Secrets Manager 密钥的动态引用时的重要注意事项

在堆栈模板中使用动态引用指定 Secrets Manager 密钥时，应考虑以下重要的安全注意事项：

所需权限

要指定一个存储在 Secrets Manager 中的密钥，您必须有权为该密钥调用 GetSecretValue。

引用模式

对于 Secrets Manager 密钥，reference-key 分段由多个分段组成，包括密钥 id、密钥值键、版本阶段和版本 id。请使用以下模式：

{{resolve:secretsmanager:secret-id:secret-string:json-key:version-stage:version-id}}

示例

以下示例使用 secret-name 和 json-key 分段来检索在 MyRDSSecret 密钥中存储的用户名和密码值。默认情况下，检索的密钥版本是版本阶段值为 AWSCURRENT 的版本。

{
    "MyRDSInstance": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "DBName": "MyRDSInstance",
            "AllocatedStorage": "20",
            "DBInstanceClass": "db.t2.micro",
            "Engine": "mysql",
            "MasterUsername": "{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}",
            "MasterUserPassword": "{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}"
        }
    }
}

  MyRDSInstance:
    Type: 'AWS::RDS::DBInstance'
    Properties:
      DBName: MyRDSInstance
      AllocatedStorage: '20'
      DBInstanceClass: db.t2.micro
      Engine: mysql
      MasterUsername: '{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}'
      MasterUserPassword: '{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}'

指定以下分段将检索 MySecret 的 SecretString。

'{{resolve:secretsmanager:MySecret}}' 或 '{{resolve:secretsmanager:MySecret::::}}'

指定以下分段将检索 MySecret 的 password 值。

'{{resolve:secretsmanager:MySecret:SecretString:password}}'

指定以下分段将检索另一个 Amazon 账户中的 MySecret 的 SecretString。您必须指定完整的密钥 ARN 才能访问另一个 Amazon 账户中的密钥。

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3}}'

指定以下分段将检索另一个 Amazon 账户中的 MySecret 的 password 值。您必须指定完整的密钥 ARN 才能访问另一个 Amazon 账户中的密钥。

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3:SecretString:password}}'

指定以下分段将检索 AWSPREVIOUS 版本的 MySecret 的 password 值。

'{{resolve:secretsmanager:MySecret:SecretString:password:AWSPREVIOUS}}'