問題タブ [aws-secrets-manager]

次の形式のシークレット値の URL を持つシークレット マネージャーがあります。 mysql+pymysql://username:password@db-name-dbcluster-13aaj5jwbujqa.cluster-cim1u06sewzq.us-west-2.rds.amazonaws.com/

パスワードを自動的にローテーションし、ユーザーを 2 人にしたいので、ダウンタイムもありません。

提供されたサンプルコードでマルチユーザーローテーションラムダ関数を使用してみましたが、次の形式で必要になるため、私のニーズには合いません:

秘密の値にマスター Arn がありません。

シークレットマネージャーを使用して2人のユーザーでパスワードを自動的にローテーションするカスタムラムダ関数が必要なため、ローテーション中にユーザー1をユーザー2にスワップします。

データベースを作成するスタックなど、いくつかのネストされたスタックを呼び出す Cloudformation スクリプトがあります。最初にシークレット マネージャーでシークレットを作成し、それをデータベース インスタンスでユーザー名とパスワードに使用します。今のところ、自動シークレット ローテーションを有効にしたくありません。

私の問題は、スタックを更新するたびに、データベースに伝播されない新しいシークレットが生成されることです。その後、更新された ECS サービスがデータベースに接続しようとすると、間違ったパスワードが使用されるため、安定することができず、すべてをロールバックする必要があります。

設定していないのにパスワードがローテーションされるのはなぜですか? これを回避する方法はありますか？できない場合、少なくとも変更をデータベースに伝達するために AWS::SecretsManager::SecretTargetAttachment を追加する必要がありますか?

JSON にシークレットを持つ CloudFormation で AWS スタックを作成しようとしています。

シークレットの値をパラメーターに表示したくありません。また、インスタンス (fargate または ec2) がシークレット マネージャーにアクセスすることも望ましくありません。CloudFormation でシークレット マネージャーから値を取得し、実行時にテンプレートに挿入する必要があります。

これは私がしたことです：

1. シークレットを作成する

2. Designer を使用してテンプレートを作成する

3. シークレットを読み取り、リソースを作成します。この場合、シークレットをタグとして持つバケットを作成しています。これが安全でないことはわかっていますが、バケットは概念実証としてのみ使用されています。

4. バケットにシークレットのタグが含まれていることを確認します

これは私のテンプレートです：

これは私にエラーを与えていますOne or more tags are not valid。

タグをテキストとして読み取ろうとするのではなく、シークレットを読み取らせたいことを CloudFormation に示すにはどうすればよいですか? つまり、「{{resolve:secretsmanager:dev/learning:SecretString:hello}}」をテキストとして読み取るのではなく、値に置き換えます。