如何安全地将.pfx证书添加到aws lambda中？

Question

我正在开发一个lambda函数来消耗一个soap api。soap api需要使用ssl证书进行认证。我通过使用二进制加载器(webpack)导入pfx文件，然后把它写回lambda容器中的 "tmp "路径，设法让它在本地工作。

const cert = require('/etc/ssl/certs/cert.pfx')
const certPath = '/tmp/cert.pfx'
fs.writeFileSync(certPath, Buffer.from(cert, 'binary'))
client.setSecurity('/tmp/cert.pfx', 'secretPassphrase', {...options});

这并不是一个真正可行的策略，因为这需要将pfx文件添加到版本控制中，或者采取其他复杂的措施。

我喜欢的是能够从AWS的某个地方(secretsmanagerparamstoresomeotherservice)直接要求pfx二进制文件。但我似乎想不出一种方法来让它与二进制pfx格式一起工作。

有什么聪明的方法可以解决这个问题？

非常感谢

Answer 1

我的第一个想法是将pfx文件存储在你的账户中的S3桶中，存储文件时指定KMS加密。然后给Lambda函数的IAM角色权限从S3读取文件。

在一些 在Lambda函数的处理程序之外的初始化代码。您只需使用AWS SDK调用S3复制函数，将pfx文件复制到Lambda函数的 /tmp 文件夹。