Solucionar problemas de rotación AWS Secrets Manager

1. Analice los CloudWatch registros:

   • Busque mensajes de error específicos o comportamientos inesperados en los registros de las funciones de Lambda

   • Compruebe que se estén intentando realizar todos los pasos de rotación (CreateSecret, SetSecret, TestSecret, FinishSecret)

2. Revise las llamadas a la API durante la rotación:

   • Evite realizar llamadas a la API mutantes en el secreto durante la rotación de Lambda

   • Asegúrese de que no haya ninguna condición de carrera entre las llamadas RotateSecret y PutSecretValue

3. Compruebe la lógica de la función de Lambda:

   • Confirma que estás usando el código de AWS muestra más reciente para la rotación secreta

   • Si utiliza un código personalizado, revíselo para comprobar que se gestionan correctamente todos los pasos de rotación

4. Compruebe la configuración de la red:

   • Verifique que las reglas del grupo de seguridad permitan a la función de Lambda acceder a la base de datos

   • Garantice el acceso adecuado al punto de conexión de VPC o al punto de conexión público para Secrets Manager

5. Pruebe versiones de un secreto:

   • Comprueba que la AWSCURRENT versión del secreto permita el acceso a la base de datos

   • Compruebe AWSPREVIOUS si nuestras AWSPENDING versiones son válidas

6. Borre las rotaciones pendientes:

   • Si la rotación falla constantemente, borre la etiqueta AWSPENDING provisional y vuelva a intentar la rotación

7. Compruebe la configuración de simultaneidad de Lambda:

   • Compruebe que la configuración de simultaneidad sea adecuada para su carga de trabajo

   • Consulte la sección “Solución de problemas de rotación relacionados con la simultaneidad” si sospecha que hay problemas de simultaneidad.

Para encontrar las funciones de rotación de Lambda, utilice Python 3.7

1. Inicie sesión en Consola de administración de AWS y abra la AWS Lambda consola en https://console.aws.amazon.com/lambda/.

2. En la lista Funciones, filtre por SecretsManager.

3. En la lista filtrada de funciones, en Tiempo de ejecución, busque Python 3.7.

Para buscar la CloudFormation pila que creó la función de rotación

• En la página de detalles de la función de Lambda, seleccione la pestaña Configuración, y elija Etiquetas. Vea el ARN junto a aws:cloudformation:stack-id.

  El nombre de la pila está incrustado en el ARN, como se muestra en el siguiente ejemplo.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nombre de pila: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Para recrear una función de rotación (CloudFormation)

1. En CloudFormation, busque la pila por su nombre y, a continuación, seleccione Actualizar.

   Si aparece un cuadro de diálogo en el que se recomienda actualizar la pila raíz, seleccione Ir a la pila raíz y, a continuación, elija Actualizar.

2. En la página de Pila de actualizaciones, en Preparar plantilla, elija Editar en Application Composer y, a continuación, en Editar plantilla en Application Composer, elija el botón Editar en Application Composer.

3. En Application Composer, haga lo siguiente:

   1. En el código de la plantilla, en SecretRotationScheduleHostedRotationLambda, sustituya el valor para "functionName": "SecretsManagerTestRotationRDS" por un nuevo nombre de función, por ejemplo, en JSON, "functionName": "SecretsManagerTestRotationRDSupdated"

   2. Seleccione Actualizar plantilla.

   3. En el cuadro de diálogo Continuar a CloudFormation, elija Confirmar y continuar a CloudFormation.

4. Continúe con el flujo de trabajo de la CloudFormation pila y, a continuación, seleccione Enviar.

Para buscar la CloudFormation pila que creó la función de rotación

• En la página de detalles de la función de Lambda, seleccione la pestaña Configuración, y elija Etiquetas. Vea el ARN junto a aws:cloudformation:stack-id.

  El nombre de la pila está incrustado en el ARN, como se muestra en el siguiente ejemplo.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nombre de pila: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Para actualizar el tiempo de ejecución de una función de rotación (CloudFormation)

1. En CloudFormation, busque la pila por su nombre y, a continuación, seleccione Actualizar.

   Si aparece un cuadro de diálogo en el que se recomienda actualizar la pila raíz, seleccione Ir a la pila raíz y, a continuación, elija Actualizar.

2. En la página de Pila de actualizaciones, en Preparar plantilla, elija Editar en Application Composer y, a continuación, en Editar plantilla en Application Composer, elija el botón Editar en Application Composer.

3. En Application Composer, haga lo siguiente:

   1. En la plantilla JSON, para SecretRotationScheduleHostedRotationLambda, en Properties, en Parameters, agregue "runtime": "python3.9".

   2. Seleccione Actualizar plantilla.

   3. En el cuadro de diálogo Continuar a CloudFormation, elija Confirmar y continuar a CloudFormation.

4. Continúe con el flujo de trabajo de la CloudFormation pila y, a continuación, seleccione Enviar.

Para encontrar las funciones de rotación de Lambda, utilice Python 3.9

1. Inicie sesión en Consola de administración de AWS y abra la AWS Lambda consola en https://console.aws.amazon.com/lambda/.

2. En la lista Funciones, filtre por SecretsManager.

3. En la lista filtrada de funciones, en Tiempo de ejecución, busque Python 3.9.

Cómo actualizar la función de rotación de Lambda para incluir RotationToken

1. Cómo descargar el código de la función de Lambda

   • Abra la consola de Lambda

   • Seleccione Funciones en el panel de navegación

   • Seleccione su función de rotación secreta de Lambda para el nombre de la función

   • En Descargar, elija una de las siguientes opciones: Código de función .zip, archivo AWS SAM , Ambos

   • Pulse Aceptar para guardar la función en su máquina local.

2. Editar Lambda_handler

   Incluye el parámetro rotation_token en el paso create_secret para la rotación entre cuentas:

   
   def lambda_handler(event, context):
       """Secrets Manager Rotation Template
   
       This is a template for creating an AWS Secrets Manager rotation lambda
   
       Args:
           event (dict): Lambda dictionary of event parameters. These keys must include the following:
               - SecretId: The secret ARN or identifier
               - ClientRequestToken: The ClientRequestToken of the secret version
               - Step: The rotation step (one of createSecret, setSecret, testSecret, or finishSecret)
               - RotationToken: the rotation token to put as parameter for PutSecretValue call
   
           context (LambdaContext): The Lambda runtime information
   
       Raises:
           ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
           ValueError: If the secret is not properly configured for rotation
   
           KeyError: If the event parameters do not contain the expected keys
   
       """
       arn = event['SecretId']
       token = event['ClientRequestToken']
       step = event['Step']
       # Add the rotation token
       rotation_token = event['RotationToken']
   
       # Setup the client
       service_client = boto3.client('secretsmanager', endpoint_url=os.environ['SECRETS_MANAGER_ENDPOINT'])
   
       # Make sure the version is staged correctly
       metadata = service_client.describe_secret(SecretId=arn)
       if not metadata['RotationEnabled']:
           logger.error("Secret %s is not enabled for rotation" % arn)
           raise ValueError("Secret %s is not enabled for rotation" % arn)
       versions = metadata['VersionIdsToStages']
       if token not in versions:
           logger.error("Secret version %s has no stage for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s has no stage for rotation of secret %s." % (token, arn))
       if "AWSCURRENT" in versions[token]:
           logger.info("Secret version %s already set as AWSCURRENT for secret %s." % (token, arn))
           return
       elif "AWSPENDING" not in versions[token]:
           logger.error("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
       # Use rotation_token
       if step == "createSecret":
           create_secret(service_client, arn, token, rotation_token)
   
       elif step == "setSecret":
           set_secret(service_client, arn, token)
       
       elif step == "testSecret":
           test_secret(service_client, arn, token)
           
       elif step == "finishSecret":
           finish_secret(service_client, arn, token)
           
       else:
           raise ValueError("Invalid step parameter")            
             

3. Edite el código create_secret

   Revise la función create_secret para aceptar y usar el parámetro rotation_token:

   
   # Add rotation_token to the function
   def create_secret(service_client, arn, token, rotation_token):
   """Create the secret
   
   This method first checks for the existence of a secret for the passed in token. If one does not exist, it will generate a
   new secret and put it with the passed in token.
   
   Args:
   service_client (client): The secrets manager service client
   
   arn (string): The secret ARN or other identifier
   
   token (string): The ClientRequestToken associated with the secret version
   
   rotation_token (string): the rotation token to put as parameter for PutSecretValue call
   
   Raises:
   ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
   """
   # Make sure the current secret exists
   service_client.get_secret_value(SecretId=arn, VersionStage="AWSCURRENT")
   
   # Now try to get the secret version, if that fails, put a new secret
   try:
   service_client.get_secret_value(SecretId=arn, VersionId=token, VersionStage="AWSPENDING")
   logger.info("createSecret: Successfully retrieved secret for %s." % arn)
   except service_client.exceptions.ResourceNotFoundException:
   # Get exclude characters from environment variable
   exclude_characters = os.environ['EXCLUDE_CHARACTERS'] if 'EXCLUDE_CHARACTERS' in os.environ else '/@"\'\\'
   # Generate a random password
   passwd = service_client.get_random_password(ExcludeCharacters=exclude_characters)
   
   # Put the secret, using rotation_token
   service_client.put_secret_value(SecretId=arn, ClientRequestToken=token, SecretString=passwd['RandomPassword'], VersionStages=['AWSPENDING'], RotationToken=rotation_token)
   logger.info("createSecret: Successfully put secret for ARN %s and version %s." % (arn, token))
             

4. Suba el código de una función de Lambda actualizada

   Tras actualizar el código de la función de Lambda, cárguelo para rotar su secreto.

1. Compruebe y ajuste la configuración de simultaneidad de Lambda:

   • Compruebe que reserved_concurrent_executions no esté demasiado bajo (por ejemplo, 1)

   • Si utiliza la simultaneidad reservada, configúrela en al menos 10

   • Evalúe utilizar la simultaneidad sin reservas para una mayor flexibilidad

2. En caso de la simultaneidad aprovisionada:

   • No establezca el parámetro de simultaneidad aprovisionado de forma explícita (por ejemplo, en Terraform).

   • Si debe configurarlo, utilice un valor de al menos 10.

   • Pruébelo minuciosamente para asegurarse de que el valor elegido se adapte a su caso de uso.

3. Supervise y ajuste la simultaneidad:

   • Calcule la simultaneidad mediante esta fórmula: simultaneidad = (promedio de solicitudes por segundo) * (duración promedio de las solicitudes en segundos). Para obtener más información, consulte Estimación de la simultaneidad reservada.

   • Observe y registre los valores durante las rotaciones para determinar la configuración de simultaneidad adecuada.

   • Tenga cuidado al establecer valores de simultaneidad bajos. Pueden provocar una limitación si no hay suficientes subprocesos de ejecución disponibles.