Quiero usar el administrador de secretos de AWS para administrar todos mis secretos para mis pilas de CDK. Dado que estaría administrando cientos de secretos, quiero crear una pila de CDK que me permita crear estos secretos en diferentes entornos (y administrarlos).
Algunos de los valores secretos deben ser un conjunto específico de valores que no se pueden generar automáticamente.
Por lo que entiendo, no puedo crear tales secretos que tienen valores predeterminados usando CDK. Entonces mi pregunta es: ¿Cómo creo estos secretos mediante programación y no manualmente? La carga de crear el mismo conjunto de secretos en diferentes entornos manualmente sin estropearlo es demasiado grande.
Editar: para ser claros, entiendo el motivo por el que CDK no permite especificar SecretString de AWS::SecretsManager::Secret , ya que podría correr el riesgo de exponer secretos. Definitivamente pensé en crear secretos con valores generados aleatoriamente y luego reemplazar esos valores manualmente, pero para alguien como yo que tiene múltiples entornos y cientos de secretos para administrar, incluso eso podría ser bastante agotador. Tiene que haber una mejor manera de hacer esto.
¿Cómo creo estos secretos mediante programación y no manualmente?
Como señaló correctamente, no puede hacer esto en CDK. Esto es por diseño y la razón es la siguiente:
La construcción Secret no permite especificar la propiedad SecretString del recurso AWS::SecretsManager::Secret (ya que esto casi siempre conducirá a que el secreto aparezca en texto sin formato y posiblemente se comprometa con su control de código fuente).
El mismo documento también da una solución para eso:
Si necesita usar un secreto preexistente , la forma recomendada es aprovisionar manualmente el secreto en AWS SecretsManager y usar el método Secret.fromSecretArn o Secret.fromSecretAttributes para que esté disponible en su aplicación de CDK:
Por supuesto, ir manualmente a la consola no es muy agradable, por lo que puede crear previamente estos secretos en AWS CLI o SDK . Podría tener un script complementario junto con su CDK que crearía los secretos utilizando AWS CLI o algún script en AWS SDK. Estos secretos creados previamente se pueden usar en el CDK como se muestra en los documentos.
Obviamente, esto plantea el mismo problema que CDK intenta eliminar, es decir, puede confirmar o exponer el script en secretos de texto sin formato en su código fuente.
Pero si sus secretos no son tan secretos, tal vez usar SSM Parameter Store sería una mejor opción. Los valores almacenados se pueden controlar fácilmente desde CDK.
Como alternativa, si es posible, también puede utilizar directamente AWS::SecretsManager::Secret de CloudFormation. El secreto en CFN no lo restringe, y puede configurar el valor de texto sin formato para el secreto.