为亚马逊 RDS、亚马逊 Aurora、Amazon Redshift 或亚马逊 DocumentDB 机密设置自动轮换

打开 Secrets Manager 控制台：https://console.aws.amazon.com/secretsmanager/。

在密钥列表页上，选择您的密钥。

在 Secret details (密钥详细信息) 页上的 Rotation configuration (轮换配置) 部分中，选择 Edit rotation (编辑轮换)。

在编辑轮换配置对话框中，执行以下操作：

1. 启用 Automatic rotation（自动轮换）。

2. 在 Rotation schedule（轮换计划）下，在 Schedule expression builder（计划表达式生成器）或 Schedule expression（计划表达式）中，以 UTC 时区格式输入您的计划。Secrets Manager 会将您的计划存储为 rate() 或 cron() 表达式。轮换时段将自动从午夜开始，除非您指定 Start time（开始时间）。您可以每四小时轮换一次密钥。有关更多信息，请参阅 轮换时间表。

3. （可选）对于 Window duration（时段持续时间），选择您希望 Secrets Manager 在其间轮换密钥的时段长度，例如 3h 表示三个小时的时段。该时段不得延伸到下一个轮换时段。如果未指定 Window duration（时段持续时间），则对于以小时为单位的轮换计划，时段将在一小时后自动关闭。对于以天为单位的轮换计划，时段将在一天结束时自动关闭。

4. （可选）请选择 Rotate immediately when the secret is stored（在存储密钥时立即轮换），以在保存更改时轮换密钥。如果您清除该复选框，则第一次轮换将按照您设置的计划开始。

   如果轮换失败，例如因为步骤 3 和 4 尚未完成，Secrets Manager 会多次重试轮换过程。

5. 在 Rotation function（轮换函数）下，执行以下操作之一：

   • 选择 Create a new Lambda function（创建新的 Lambda 函数），然后输入新函数的名称。Secrets Manager 会将 SecretsManager 添加到函数名称的开头。Secrets Manager 会基于相应的模板创建函数并为 Lambda 执行角色设置必要的权限。

   • 选择 Use an existing Lambda function（使用现有 Lambda 函数），以重复使用用于另一个密钥的轮换函数。在 Recommended VPC configurations（建议的 VPC 配置）下列出的轮换函数，与数据库具有相同的 VPC 和安全组，有助于函数访问数据库。

6. 对于轮换策略，选择单用户或交替用户策略。有关更多信息，请参阅 步骤 1：选择轮换策略并（可选）创建超级用户密钥。

选择 Save（保存）。

在 Secrets Manager 控制台中选择您的密钥，然后在详细信息页面中的 Rotation configuration（轮换配置）下，选择 Lambda 轮换函数。Lambda 控制台将打开。

按照 Using resource-based policies for Lambda（将基于资源的策略用于 Lambda）中的说明添加 aws:sourceAccount 条件。

"Condition": {
    "StringEquals": {
        "AWS:SourceAccount": "123456789012"
    }
},

从 Lambda 轮换函数中选择配置，然后在执行角色下，选择角色名称。

按照 修改角色权限策略 中的说明添加 kms:EncryptionContext:SecretARN 条件。

"Condition": {
    "StringEquals": {
        "kms:EncryptionContext:SecretARN": "SecretARN"
    }
},