有关将AWS SSM参数意外设置为String而非SecureString的问题

Question

我不小心在AWS SSM中将密码存储为String而不是SecureString。然后我使用boto3在Python中访问了这个参数。现在我需要担心安全隐患吗？

这是我通过Python访问它的方式：

client = boto3.client('ssm', region_name=REGION_NAME)
parameter = client.get_parameter(Name=abs_key, WithDecryption=True)['Parameter']
value = parameter['Value']

谢谢！

Answer 1

答案真的取决于你的偏执程度。通过存储为String而不是SecureString，密码以明文形式存储在Parameter Store中。有权访问参数存储的任何人都可以读取密码。这包括具有参数存储访问权限的AWS账户的任何成员以及AWS本身。如果您担心前者，可能需要更改密码并将新密码存储为SecureString，选择只有适当用户才能访问的KMS密钥。如果你担心后者，你应该切换云提供商。

使用boto3检索密码不会增加您的风险或风险。当boto使用AWS API请求参数时，由于TLS，密码被加密（API仅为https）。