如何在aws中自动生成/轮换秘密？

Question

我正在通过 terraform 创建一个秘密管理器资源（下面的示例代码），我查找了一些示例并了解到我可以将此资源与用于密钥轮换的 lambda 挂钩，这将生成一个随机秘密并存储它。是否已经有内置 lambda/代码可以在 aws 中执行此操作？另外，当 lambda 进行轮换时，旧密钥是否会立即过期，或者我们可以设置时间，使其仅在一定天数后过期。我假设时间线可以通过 lambda 或 terraform 设置。一些例子会有帮助

resource "aws_secretsmanager_secret" "example" {
  name = "example"
}

Answer 1

使用其他资源

AWS::SecretsManager::RotationSchedule

来设置轮换计划设置。

MySecretRotationSchedule:
  Type: AWS::SecretsManager::RotationSchedule
  DependsOn: MyRotationLambda 
  Properties:
    SecretId: !Ref MySecret
    RotationLambdaARN: !GetAtt MyRotationLambda.Arn
    RotationRules:
      Duration: 2h
      ScheduleExpression: 'cron(0 1 * * ? *)'