AWS CDKでLambdaの環境変数と付き合う方法

結論編

アーキテクチャ

1. Parameter Storeの設定

• AWS Management ConsoleからSystems Managerを開く(スクリーンショット1)
• 画面内で、Parameter Storeの管理画面に遷移する
  • Systems Managerサービスのフィーチャーのため、Systems Managerの画面の左のメニューから探す
• create parameterボタンから、パラメータを作成する(スクリーンショット2)
  • 秘匿情報はSecrets Managerに保存するため、こちらには保存しない。

2. Secrets Managerの設定

• AWS Management ConsoleからSecrets Managerを開く
• Step1でOther type of secretを選択し、plaintextタブを選んで値を入力する（スクリーンショット1）
• Step2でこのSecretに名前をつける（スクリーンショット2）
• Step3はそのまま次へ進む

3. AWS CDKコード（TypeScript、v1）

const someHandler = new lambda.Function(this, 'someHandler', {
  runtime: lambda.Runtime.NODEJS_16_X,
  code: lambda.Code.fromAsset('../backend/dist/handler'),
  environment: {
    SOME_ENV_VAR: 'hard-coded',
    ENVIRONMENT:
        // Parameter Store
        ssm.StringParameter.fromStringParameterAttributes(this, 'SomeHandlerParam1', {
          parameterName: 'someApp/backend/ENVIRONMENT'
        }).stringValue,
    SOME_CREDENTIAL:
        // Secrets Manager
        secretsmanager.Secret.fromSecretNameV2(this, 'SomeHandlerParam2', 'someApp/backend/credentials')
          .secretValue.toString()
  },
  handler: 'handler.handler',
  memorySize: 1024
})

注意点

1. 設計について

2. Secrets Managerの費用について

• Secrets Managerは1パラメータあたり0.4USD/月 + 少々(リクエスト分)かかる。
• 費用対策として、同一アプリケーションで秘匿したい値が複数ある場合は、それらをJSONとして設定することが可能。以下のようなコードにすることで、シークレットの値をJSONとして扱い、キーを指定して値を抽出することが可能。

secretsmanager.Secret.fromSecretNameV2(this, 'SomeHandlerParam2', 'someApp/backend/credentials')
              .secretValueFromJson('someKey').toString()

3. 環境変数の変更について

• 方法1. Parameter StoreやSecrets Manager上で値を更新して、同じ値をLambdaに手動で入れる
• 方法2. Parameter StoreやSecrets Manager上で値を更新して、再度CDKのデプロイを走らせる。
  • cdk deployは生成されたCloudFormationテンプレートに差分が違いがないとデプロイされないことに注意。-fオプションをつけることで強制的にデプロイが可能。

背景説明編

背景

1. AWS CDKのコードにベタ書きしてしまう
2. AWS CDKをデプロイして、後からAWS Management ConsoleなどでLambdaの環境変数を手動で変更する

• 既存のLambdaの環境変数の値を手動で変えても、デプロイのたびに上書きされる だけでなく、
• CDK上に定義されていないLambdaの環境変数を手動で追加しても、デプロイのたびに抹消される ということである。

サービスの使い分け

詳細

秘匿情報かどうかの判断

追伸