如何在AWS Step函数中安全地传递敏感信息

我们已经与Amazon进行了交谈,看起来无法在控制台中隐藏这些信息。另一种方法是限制在每个步骤中发送到Lambda函数的内容。

因此,您可以确保某些函数只能看到输入数据的非PII子集。通常的解决方法是根本不传递PII数据,而是将PII数据放在加密的数据存储中,例如S3存储桶或加密的RDS数据库表,并通过状态机传递对该对象的引用。

另一种选择是将SSM参数存储与 SecureString 使用KMS加密键入。您可以在步骤之间传递SSM参数的名称。lambda函数将使用API在单个请求中检索和解密值。有关如何在Python中使用boto3使用SSM参数存储的文档,请参阅下面的链接。

http://boto3.readthedocs.io/en/latest/reference/services/ssm.html#SSM.Client.get_parameter

和 访问用于加密值的同一KMS密钥。