AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

如果我们为英文版本指南提供翻译，那么如果存在任何冲突，将以英文版本指南为准。在提供翻译时使用机器翻译。

AWS Secrets Manager 密钥轮换问题排查

使用此处的信息可帮助您诊断和修复在轮换 Secrets Manager 密钥时可能遇到的常见错误。

在 AWS Secrets Manager 中轮换密钥要求使用 Lambda 函数来定义如何与拥有密钥的数据库或服务交互。

我想查找我的 Lambda 轮换函数的诊断日志

在轮换函数没有按预期方式运行时，应先检查 CloudWatch 日志。Secrets Manager 提供 Lambda 轮换函数的模板代码，此代码会将错误消息写入到 CloudWatch 日志中。

我无法预测轮换何时开始

您只能预测下一次轮换的日期，而不能预测时间。

Secrets Manager 在上一次轮换完成时计划下一次轮换。Secrets Manager 通过向上次轮换的实际日期添加轮换间隔（天数）来计划日期。该服务随机选择 24 小时日期窗口中的小时。分钟也以某种方式随机选择，但会根据小时的起始进行加权并受帮助分布负载的各种因素影响。

在尝试为我的密钥配置轮换时，出现“访问被拒绝”错误

在将 Lambda 轮换函数的 Amazon 资源名称 (ARN) 添加到密钥时，Secrets Manager 会检查该函数的权限。该函数的角色策略必须为 Secrets Manager 服务委托人授予 secretsmanager.amazonaws.com 权限才能调用该函数 (lambda:InvokeFunction)。

可以运行以下 AWS CLI 命令来添加此权限：

aws lambda add-permission --function-name ARN_of_lambda_function --principal secretsmanager.amazonaws.com --action lambda:InvokeFunction --statement-id SecretsManagerAccess

在启用轮换后，我的第一次轮换失败

在为使用“控制”密钥更改受保护服务上的凭证的密钥启用轮换时，Secrets Manager 自动配置轮换所需的大多数元素。不过，Secrets Manager 无法自动为 Lambda 函数授予读取控制密钥的权限。您必须自行明确授予该权限。具体来说，您需要将权限添加到附加到 IAM 角色（附加到 Lambda 轮换函数）的策略以授予该权限。该策略必须包含以下语句（这只是一个语句，而不是完整策略）。有关完整策略，请参阅CloudTrail 在轮换期间显示“访问被拒绝”错误一节中的第二个示例策略。

{
    "Sid": "AllowAccessToMasterSecret",
    "Effect": "Allow",
    "Action": "secretsmanager:GetSecretValue",
    "Resource": "ARN_of_master_secret"
}

这使轮换函数能够从控制密钥检索凭证，然后使用控制密钥凭证更改轮换密钥的凭证。

因为密钥值未按轮换函数预期进行格式化，所以轮换失败。

如果您没有按照轮换函数的预期，将密钥值格式化为 JSON 结构，则轮换也可能失败。您使用的轮换函数决定了所使用的格式。有关每个轮换函数针对密钥值需要的内容的详细信息，请参阅可用于创建 Lambda 轮换函数的 AWS 模板 中相关轮换函数下的预期 SecretString 值条目。

例如，如果您使用 MySQL 单一用户轮换函数，SecretString 文本结构必须如下所示：

{
  "engine": "mysql",
  "host": "<required: instance host name/resolvable DNS name>",
  "username": "<required: username>",
  "password": "<required: password>",
  "dbname": "<optional: database name. If not specified, defaults to None>",
  "port": "<optional: TCP port number. If not specified, defaults to 3306>"
}

Secrets Manager 指出我已成功配置轮换，但未轮换密码

如果网络配置问题导致 Lambda 函数无法与受保护数据库/服务或 Secrets Manager 服务终端节点（位于公有 Internet 上）通信，则可能出现这种情况。如果您在 VPC 中运行数据库或服务，则为配置使用以下两个选项之一：

要确定这种类型的配置问题是否导致轮换失败，请执行以下步骤。

轮换失败，并显示“内部故障”错误消息

当您的轮换函数生成一个新密码并尝试将该密码作为一组新的凭证存储在数据库中时，您必须确保密码仅包含对指定数据库有效的字符。如果密码包含数据库引擎不接受的字符，则为用户设置密码的尝试将失败。此错误显示为“内部故障”。有关可使用的字符的列表，请参阅数据库文档。然后，通过在 GetRandomPassword API 调用中使用 ExcludeCharacters 参数来排除所有其他字符。

CloudTrail 在轮换期间显示“访问被拒绝”错误

在配置轮换时，如果让 Secrets Manager 为您创建轮换函数，则 Secrets Manager 会自动为其提供附加到该函数的 IAM 角色的策略以授予相应的权限。如果您创建自定义函数，则需要为附加到该函数的角色授予以下权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DescribeSecret",
                "secretsmanager:GetRandomPassword",
                "secretsmanager:GetSecretValue",
                "secretsmanager:PutSecretValue",
                "secretsmanager:UpdateSecretVersionStage",
            ],
            "Resource": "*"
        }
    ]
}

此外，如果您的轮换使用单独的控制密钥凭证轮换该密钥，您还必须授予权限以从控制密钥中检索密钥值。有关更多信息，请参阅在启用轮换后，我的第一次轮换失败。组合的策略可能类似于以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccessToSecretsManagerAPIs",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DescribeSecret",
                "secretsmanager:GetRandomPassword",
                "secretsmanager:GetSecretValue",
                "secretsmanager:PutSecretValue",
                "secretsmanager:UpdateSecretVersionStage",
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowAccessToMasterSecret",
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "<arn_of_master_secret>"
        }
    ]
}