# 适用于 Java 2.x 的 AWS 开发工具包 - AWS Secrets Manager ## 概述 AWS Secrets Manager 可帮助您保护访问应用程序、服务和 IT 资源所需的机密。此技能涵盖使用适用于 Java 2.x 的 AWS 开发工具包存储、检索和轮换密钥的模式，包括 Spring Boot 集成和缓存策略。 ## 何时使用在以下情况下使用此技能： * 以编程方式存储和检索应用程序机密 * 安全管理数据库凭证，无需硬编码 * 使用Lambda函数实现自动秘密轮换 * 将 AWS Secrets Manager 与 Spring Boot 应用程序集成 * 设置秘密缓存以提高性能 * 创建安全的配置管理系统 * 处理多区域秘密部署 * 实施秘密访问的审计日志记录 ## 说明请按照以下步骤使用 AWS Secrets Manager： 1. **添加依赖** \- 包含secretsmanager依赖和缓存库 2. **创建客户端** \- 使用正确的配置实例化 SecretsManagerClient 3. **存储秘密** \- 使用 createSecret() 存储新秘密 4. **检索秘密** \- 使用 getSecretValue() 获取秘密 5. **实施缓存** \- 使用 SecretCache 提高性能 6. **配置轮换** \- 设置自动轮换时间表 7. **与Spring集成** \- 配置bean和属性源 8. **监控访问** \- 启用 CloudTrail 日志记录以进行审计跟踪 ## 依赖关系 ### Maven <依赖关系> software.amazon.awssdk secretsmanager <依赖关系> com.amazonaws.secretsmanager aws-secretsmanager-caching-java 2.0.0 // 使用sdk v2兼容版本 ### 摇篮实施“software.amazon.awssdk：secretsmanager” 实施 'com.amazonaws.secretsmanager:aws-secretsmanager-caching-java:2.0.0 ## 快速入门 ### 基本客户端设置导入软件.amazon.awssdk.regions.Region; 导入 software.amazon.awssdk.services.secretsmanager.SecretsManagerClient; SecretsManagerClient SecretsClient = SecretsManagerClient.builder() .region(区域.US_EAST_1) .build(); ### 存储一个秘密导入 software.amazon.awssdk.services.secretsmanager.model.*; 公共字符串createSecret（字符串秘密名称，字符串秘密值）{ CreateSecretRequest 请求 = CreateSecretRequest.builder() .name(秘密名称) .secretString(secretValue) .build(); CreateSecretResponse 响应 = SecretsClient.createSecret(request); 返回response.arn(); } ### 取回秘密公共字符串 getSecretValue(字符串秘密名称) { GetSecretValueRequest 请求 = GetSecretValueRequest.builder() .secretId(秘密名称) .build(); GetSecretValueResponse 响应 = SecretsClient.getSecretValue(request); 返回response.secretString(); } ## 核心运营 ### 秘密管理 * 使用`createSecret()`创建秘密 * 使用“getSecretValue()”检索秘密 * 使用“updateSecret()”更新机密 * 使用“deleteSecret()”删除秘密 * 使用“listSecrets()”列出秘密 * 使用“restoreSecret()”恢复已删除的机密 ### 秘密版本控制 * 通过 `versionId` 访问特定版本 * 按阶段访问版本（例如“AWSCURRENT”、“AWSPENDING”） * 自动管理版本历史 ### 秘密轮换 * 配置自动轮换计划 * 基于 Lambda 的旋转函数 * 使用“rotateSecret()”立即旋转 ## 缓存以提高性能 ### 设置缓存导入 com.amazonaws.secretsmanager.caching.SecretCache; 公共类 CachedSecrets { 私有最终 SecretCache 缓存；公共 CachedSecrets(SecretsManagerClient SecretsClient) { this.cache = new SecretCache(secretsClient); } 公共字符串 getCachedSecret(字符串秘密名称) { 返回cache.getSecretString(secretName); } } ### 缓存配置导入 com.amazonaws.secretsmanager.caching.SecretCacheConfiguration； SecretCacheConfiguration config = SecretCacheConfiguration.builder() .maxCacheSize(1000) .cacheItemTTL(3600000) // 1 小时 .build(); ## Spring Boot 集成 ### 配置 @配置公共类 SecretsManagerConfiguration { @豆子公共 SecretsManagerClient SecretsManagerClient() { 返回 SecretsManagerClient.builder() .region(区域.of(区域)) .build(); } @豆子公共 SecretCache SecretCache(SecretsManagerClient SecretsClient) { 返回新的 SecretCache(secretsClient); } } ### 服务层 @服务公共类 SecretsService { 私有最终 SecretCache 缓存；公共 SecretsService(SecretCache 缓存) { this.cache = 缓存； } 公共 T getSecretAsObject(String SecretName, Class 类型) { String SecretJson = cache.getSecretString(secretName); 返回 objectMapper.readValue(secretJson, 类型); } } ### 数据库配置 @配置公共类数据库配置{ @豆子公共数据源 dataSource(SecretsService SecretsService) { Map 凭证 = SecretsService.getSecretAsMap( “产品/数据库/凭证”）； HikariConfig 配置 = new HikariConfig(); config.setJdbcUrl(credentials.get("url")); config.setUsername(credentials.get("用户名")); config.setPassword(credentials.get("密码")); 返回新的 HikariDataSource(config); } } ## 示例 ### 数据库凭证结构 { “引擎”：“postgres”， “主机”：“mydb.us-east-1.rds.amazonaws.com”， “端口”：5432， “用户名”：“管理员”， "password": "MySecurePassword123!", “数据库名称”：“我的数据库”， “url”：“jdbc:postgresql://mydb.us-east-1.rds.amazonaws.com:5432/mydatabase” } ### API 密钥结构 { "api_key": "abcd1234-5678-90ef-ghij-klmnopqrstuv", "api_secret": "MySecretKey123!", "api_token": "承载 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." } ## 常见模式 ### 错误处理尝试{ String Secret = SecretsClient.getSecretValue(request).secretString(); } catch (SecretsManagerException e) { if (e.awsErrorDetails().errorCode().equals("ResourceNotFoundException")) { // 处理丢失的秘密 } 扔 e； } ### 批量操作 List SecretNames = List.of("秘密1", "秘密2", "秘密3"); Map Secrets = SecretNames.stream() .collect(Collectors.toMap( 函数.identity(), 名称 -> cache.getSecretString(名称) ））； ## 最佳实践 1. **秘密管理** : * 使用具有层次结构的描述性秘密名称 * 实施版本控制和轮换 * 添加组织和计费标签 2. **缓存**： * 在生产环境中始终使用缓存 * 根据机密敏感度配置合适的TTL值 * 监控缓存命中率 3. **安全**： * 切勿记录秘密值 * 使用KMS加密敏感机密 * 实施最小权限 IAM 策略 * 启用CloudTrail日志记录 4. **性能**： * 重用SecretsManagerClient实例 * 适当时使用异步操作 * 监控API限制 5. **Spring Boot集成**： * 对秘密名称使用`@Value`注释 * 实施适当的异常处理 * 使用秘密名称的配置属性 ## 测试策略 ### 单元测试 @ExtendWith(MockitoExtension.class) 类 SecretsServiceTest { @模拟私有 SecretCache 缓存； @InjectMocks 私人 SecretsService 秘密服务； @测试无效应该GetSecret（）{ when(cache.getSecretString("test-secret")).thenReturn("secret-value"); String result = SecretsService.getSecret("测试秘密"); assertEquals("秘密值", 结果); } } ### 集成测试 @SpringBootTest(类= TestSecretsConfiguration.class) 类 SecretsManagerIntegrationTest { @Autowired 私人 SecretsService 秘密服务； @测试无效shouldRetrieveSecret（）{ String Secret = SecretsService.getSecret("测试秘密"); 断言NotNull（秘密）； } } ## 故障排除 ### 常见问题 * **访问被拒绝** ：检查 IAM 权限 * **找不到资源** ：验证秘密名称和区域 * **解密失败** ：确保KMS密钥权限 * **节流** ：实现重试逻辑和退避 ### 调试命令 # 检查秘密是否存在 aws Secretsmanager 描述秘密 --秘密 ID 我的秘密 # 列出所有秘密 aws Secretsmanager 列表秘密 # 获取秘密值 (CLI) aws Secretsmanager get-secret-value --secret-id my-secret ## 参考文献有关详细信息和高级模式，请参阅： * [API 参考]() \- 完整的 API 文档 * [缓存指南]() \- 性能优化策略 * [Spring Boot 集成]() \- 完整的 Spring 集成模式 ## 相关技能 * `aws-sdk-java-v2-core` \- 核心 AWS SDK 模式和最佳实践 * `aws-sdk-java-v2-kms` \- KMS 加密和密钥管理 * `spring-boot-dependency-injection` \- Spring 依赖注入模式 ## 限制和警告 * **秘密大小** ：最大秘密大小为 10KB * **API 成本** ：每次 API 调用都会产生成本；使用缓存来减少调用 * **轮换限制** ：某些秘密类型无法自动轮换 * **复制限制** ：多区域机密具有复制限制 * **版本限制**：秘密最多保留 100 个版本，包括待定版本 * **删除延迟**：秘密删除需要 7-30 天的恢复窗口 * **KMS 加密** ：使用 AWS KMS 加密密钥；密钥管理很重要 * **缓存一致性**：缓存的机密在轮换期间可能会过时 * **IAM 权限**：秘密需要特定的 IAM 操作才能访问 * **记录** ：避免记录秘密值；使用 CloudTrail 进行审计跟踪

AWS SDK Java V2 Secrets Manager

包含技能