自动轮换 AppSync API 密钥

Question

CloudFormation 提供AWS::AppSync::ApiKey 资源类型，用于在 CloudFormation 堆栈中创建 AppSync API 密钥。 API 密钥将过期。是否有一种简单的方法可以在 CloudFormation 中定义轮换计划？我什么也没看到，但这似乎是一个显而易见的用例，我不确定没有它的 AWS::AppSync::ApiKey 资源类型有什么好处。

目前我有一个按计划运行的 lambda，以生成新密钥并将其存储在 SecretsManager 中。这可行，但这是一个额外的步骤，我必须第一次手动运行 lambda。我对替代品持开放态度。

Answer 1

您不想创建AWS::AppSync::ApiKey。而是制作一个AWS::SecretsManager::Secret 和一个AWS::SecretsManager::RotationSchedule。 RotationSchedule 将允许您使用 lambda 自动旋转 ApiKey 并将其存储在 Secret 中。

最终，AWS::AppSync::ApiKey 对您来说几乎没有实际用途，因为您需要处理过期问题。