如何在AWS中安全地傳遞敏感信息步驟功能

Question

使用AWS Step Functions串聯起來Lambdas很有趣，但是有沒有辦法在執行詳細信息屏幕上禁用/隱藏日誌記錄？ 從一個lambda傳遞到另一個lambda的私人信息需要能夠祕密完成，並且爲每個步驟添加KMS加密/解密需要大量的開銷，並且不可能存在於沒有互聯網訪問的VPC中的lambda。

Answer 1

我們已經和亞馬遜談過了，看起來沒有辦法從控制檯隱藏這些信息。另一種方法是限制在每個步驟發送給Lambda函數的內容。

因此，您可以確保只有某些功能才能看到輸入數據的非PII子集。通常的解決方法是根本不傳遞PII數據，而是將PII數據放在加密的數據存儲區（如S3存儲桶或加密的RDS數據庫表）中，並通過狀態機將參考傳遞給該對象。

Answer 2

另一種選擇是使用SSM參數存儲，使用KMS加密的SecureString類型。您可以在步驟之間傳遞SSM參數的名稱。 lambda函數將使用API​​來檢索和解密單個請求中的值。有關如何使用Python中的boto3使用SSM參數存儲的文檔，請參閱以下鏈接。

http://boto3.readthedocs.io/en/latest/reference/services/ssm.html#SSM.Client.get_parameter

你必須確保你的lambda函數中的作用提供訪問SSM參數和訪問該用於加密的值相同的KMS密鑰。