Tengo una secuencia de comandos bash para ejecutar como secuencia de comandos de datos de usuario al iniciar la instancia EC2. Para eso, necesito pasar la identificación de la clave de acceso API externa y la clave secreta. No quiero almacenar estas claves en mis scripts de datos de usuario, ya que es visible en texto sin formato. ¿Hay alguna manera de que pueda almacenar estas claves en algún lugar como AWS Secret Manager y usarlas en scripts de datos de usuario?
Sugeriría almacenarlo en Secrets Manager o SSM Parameter Store .
Necesitará usar la CLI en su secuencia de comandos de datos de usuario para recuperar el valor.
Para SSM , recuperaría el secreto utilizando la función get-parameter .
secret=$(aws ssm get-parameter --name "MyStringParameter")Para Secrets Manager , recuperaría el secreto utilizando la función get-secret-value .
secret=$(aws secretsmanager get-secret-value --secret-id MyTestDatabaseSecret) Luego, en su script bash, cuando desee hacer referencia a él, solo necesitaría usar la variable $secret para reemplazarla con su secreto.
Si decide utilizar cualquiera de estos, deberá asegurarse de que la instancia EC2 tenga un rol de IAM adjunto a la instancia con la política correcta para aplicar los permisos que necesita.
Alternativamente , si este es un proceso que ocurre con frecuencia (instancia de escalado automático, por ejemplo), entonces debería considerar configurar la imagen del servidor base (AMI) con anticipación y luego hacer referencia a esto como la AMI de origen.
Con herramientas como Ansible, Chef y Puppet, puede aprovisionar la imagen base con su secreto, lo que reemplazaría cualquier necesidad de hacer cualquier cosa en UserData , ya que estaría disponible con anticipación.
Por lo general, puede almacenar dichos secretos en AWS Systems Manager Parameter Store, que es gratuito , a diferencia de AWS Secret Manager:
El almacén de parámetros de AWS Systems Manager proporciona almacenamiento seguro y jerárquico para la administración de datos de configuración y la administración de secretos. Puede almacenar datos como contraseñas, cadenas de bases de datos, ID de imagen de máquina de Amazon (AMI) y códigos de licencia como valores de parámetros .
Para usar eso en su UserData , el rol de la instancia debe configurarse con permisos para acceder al almacén de parámetros. Luego, en su UserData , puede usar aws cli get-parameter para obtener el valor de sus secretos.