AWSで機密情報を安全に渡す方法ステップ関数

Question

AWSステップ関数を併用するLambdaは興味深いですが、実行の詳細画面でログを表示/非表示する方法はありますか？ ラムダから別のラムダに渡される個人情報は秘密にする必要があり、各ステップにKMS暗号化/復号化を追加するにはオーバーヘッドがあり、インターネットアクセスなしでVPCに保存されているラムダは不可能です。

Answer 1

私たちはAmazonと話しましたが、この情報をコンソールから隠す方法はないようです。代替方法は、各ステップでラムダ関数に送信されるものを制限することです。

したがって、入力データの非PIIサブセットのみが特定の機能によって認識されるようにすることができます。通常の回避策はPIIデータを渡すのではなく、PIIデータをS3バケットや暗号化RDSデータベース・テーブルなどの暗号化されたデータ・ストアに置き、そのオブジェクトへの参照を状態マシンを介して渡すことです。

Answer 2

もう1つの方法は、KMS暗号化を使用してSecureStringタイプのSSMパラメータストアを使用することです。ステップの間にSSMパラメータの名前を渡します。ラムダ関数はAPIを使用して、単一の要求で値を取得および復号化します。 boto3を使ってPythonでSSMパラメータストアを操作する方法については、以下のリンクを参照してください。

http://boto3.readthedocs.io/en/latest/reference/services/ssm.html#SSM.Client.get_parameter

あなたのラムダ関数への役割がSSMへのアクセスを提供することを確認する必要があります値を暗号化するために使用したのと同じKMSキーにとアクセスパラメータ。