将硬编码的数据库凭据移至 Amazon Secrets Manager

在 https://console.aws.amazon.com/secretsmanager/ 打开 Secrets Manager 控制台。

选择 存储新密钥。

在 Choose secret type（选择密钥类型）页面上，执行以下操作：

1. 对于密钥类型，选择要存储的数据库凭证类型：

   • Amazon RDS 数据库

   • Amazon DocumentDB 数据库

   • 亚马逊 Redshift 数据仓库。

   • 有关其他类型的密钥，请参阅替换硬编码的密钥。

2. 对于凭证，请输入数据库现有的硬编码凭证。

3. 对于 Encryption key（加密密钥），选择 aws/secretsmanager 使用 Secrets Manager 的 Amazon 托管式密钥 。使用此密钥不产生任何费用。例如，您还可以使用自己的客户管理型密钥来访问来自其他 Amazon Web Services 账户的密钥。有关使用客户托管密钥的成本的信息，请参阅 定价。

4. 对于 Database（数据库），请选择您的数据库。

5. 选择下一步。

在 Configure secret（配置密钥）页面上，执行以下操作：

1. 输入一个描述性的 Secret name（密钥名称）和 Description（说明）。

2. 在 Resource permissions（资源权限）中，选择 Edit permissions（编辑权限）。粘贴以下允许RoleToRetrieveSecretAtRuntime检索密钥的策略，然后选择 “保存”。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::AccountId:role/RoleToRetrieveSecretAtRuntime"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }

3. 在页面底部，选择 Next。

在 Configure rotation（配置轮换）页面上，暂时将轮换禁用。稍后您会将其启用。选择下一步。

在 Review (审核) 页上，审核您的密钥详细信息，然后选择 Store (存储)。

打开 Secrets Manager 控制台：https://console.aws.amazon.com/secretsmanager/。

在密钥列表页上，选择您的密钥。

向下滚动到 Sample code（示例代码）。选择您的语言，然后复制代码片段。

打开 Secrets Manager 控制台：https://console.aws.amazon.com/secretsmanager/。

在密钥列表页上，选择您的密钥。

在 Secret details (密钥详细信息) 页上的 Rotation configuration (轮换配置) 部分中，选择 Edit rotation (编辑轮换)。

在编辑轮换配置对话框中，执行以下操作：

1. 启用 Automatic rotation（自动轮换）。

2. 在 Rotation schedule（轮换计划）下，以 UTC 时区格式输入您的计划。

3. 选择 Rotate immediately when the secret is stored（在存储密钥时立即轮换），以在保存更改时轮换密钥。

4. 在 Rotation function（轮换函数）下，选择 Create a new Lambda function（创建新的 Lambda 函数），然后为新函数输入一个名称。Secrets Manager 将 "SecretsManager" 添加到您的函数名称的开头。

5. 对于轮换策略，选择单用户。

6. 选择保存。

打开 Secrets Manager 控制台，网址为 https://console.aws.amazon.com/secretsmanager/。

选择 Secrets（密钥），然后选择该密钥。

在 Secret details（秘密详细信息）页面上，向下滚动并选择 Retrieve secret value（检索秘密值）。

如果密钥值改变，则说明轮换已经成功。如果密钥值没有更改，则需要 轮换问题排查查看轮换功能的 CloudWatch 日志。