Менеджер секретов AWS: «Предыдущая ротация не завершена» при ротации секретов

Просто примечание для людей в будущем, которые могут получить ту же ошибку ...

Если вы используете AWS Secrets Manager для смены пароля Amazon RDS, диспетчер секретов автоматически создаст функцию Lambda. Эта функция требует:

• Доступ к Интернету (для вызова диспетчера секретов) ИЛИ конечной точке VPC для службы диспетчера секретов в подсети / подсетях, связанных с лямбда-функцией
• Доступ к экземпляру RDS (для входа и смены пароля)

Таким образом, работают следующие комбинации:

• Общедоступная база данных (плохо для безопасности) с лямбда-функцией, которая не прикреплена к VPC, ИЛИ
• Функция Lambda в частной подсети со шлюзом NAT в общедоступной подсети (чтобы функция Lambda могла получить доступ к Интернету) ИЛИ эластичный IP-адрес, прикрепленный к ENI функции Lambda

Кроме того, группа безопасности, прикрепленная к базе данных, должна разрешать входящий доступ от функции Lambda. По умолчанию лямбда-функции назначается та же группа безопасности, что и в базе данных, поэтому либо:

• Измените группу безопасности базы данных, чтобы разрешить входящие подключения от самой (то есть от Lambda к базе данных через ту же группу безопасности), ИЛИ
• Измените группу безопасности, используемую функцией Lambda, на группу, которой в настоящее время разрешен доступ к группе безопасности базы данных.

Для тех, у кого все еще есть эта проблема, вы можете попробовать очистить ожидающую версию и повторить попытку ротации.

Например, с секретом с секретным идентификатором thefrog вызовите

aws secretsmanager get-secret-value \
    --secret-id thefrog \
    --version-stage AWSPENDING

чтобы получить идентификатор версии с ожидающей меткой. Результат будет выглядеть так

{                                                                      
    "CreatedDate": 1541540242.561,                         
    "Name": "thefrog",                
    "VersionStages": [                               
        "AWSPENDING"                                        
    ],                                                    
    "SecretString": "TOP-SECRET",                                                    
    "ARN": "arn:aws:secretsmanager:xxxxxxxxxxxxxxxxxxxxxxxxxxxx",
    "VersionId": "2a27cecb-23c7-4320-b168-78661c24612f"   
} 

Тогда позвони

aws secretsmanager update-secret-version-stage \
    --secret-id thefrog \
    --version-stage AWSPENDING \
    --remove-from-version-id 2a27cecb-23c7-4320-b168-78661c24612f

чтобы удалить версию секрета с ожидающей меткой.

Отсюда вы можете повторить ротацию

Для тех, кто считает, что ссылка на https://forums.aws.amazon.com/thread.jspa?threadID=280093&tstart=0 не применяется, обязательно проверьте вывод как aws secretsmanager list-secret-version-ids, так и aws secretsmanager list-secrets, чтобы убедиться, что они синхронизированы друг с другом. У меня был только один секрет, который я не мог повернуть, продолжал получать сообщение об ошибке «Предыдущая ротация не завершена. Ротация будет повторяться». У меня был запрос в службу поддержки с открытым на нем AWS, и пока я ждал в ожидании разговора с представителем службы поддержки, я решил проверить вывод list-secrets, и, о чудо, я обнаружил метку AWSPENDING на секрете, который я не мог повернуть. (эта метка НЕ ​​отображалась на выходе list-secret-version-ids для этого секрета). Как только я очистил этот ярлык, я смог успешно повернуть секрет, с которым у меня возникли проблемы.

Проблема заключалась в том, что лямбда-функция не выполнялась, и повторная попытка происходила без моего контроля (в настоящее время нет способа ограничить повторные попытки лямбда-функции).

У меня была похожая проблема. Для моей documentdb у меня есть шаблон облачной информации, который имеет следующее содержимое шаблона:

  MyDocumentDbSecret:
    Type: AWS::SecretsManager::Secret
    Properties:
      Name: "/secrets/documentdb/root"
      Description: 'DocDB root secret'
      GenerateSecretString:
        SecretStringTemplate: !Sub '{"username": "${DefaultDocDbUser}"}'
        GenerateStringKey: "password"
        PasswordLength: 16
        ExcludeCharacters: '"@/\'

Но с этим шаблоном облачной информации я всегда получаю тайм-аут соединения в лямбда-функции (которая пытается изменить мой пароль для пользователя).

Но когда я меняю свой шаблон облачной информации на этот с ssl = true в атрибуте SecretStringTemplate:

  DocDBClusterRotationSecret:
    Type: AWS::SecretsManager::Secret
    Properties:
      Name: "/secrets/documentdb/root"
      Description: 'DocDB root secret'
      GenerateSecretString:
        SecretStringTemplate: !Sub '{"username": "${DefaultDocDbUser}", "ssl": "true"}'
        GenerateStringKey: "password"
        PasswordLength: 16
        ExcludeCharacters: '"@/\'

тогда он работает нормально. Для моего типа облачной информации: AWS :: SecretsManager :: SecretTargetAttachment не предоставляет мой секрет с атрибутами ssl = true, поэтому мне нужно добавить его вручную в мой шаблон облачной информации. Теперь работает отлично, без ошибок.

Моя секретная строка сейчас выглядит так:

{
 "password": "My PW",
 "engine": "mongo",
 "port": 27017,
 "host": "My Host",
 "ssl": "true",
 "username": "My User"
}