# @aws-cdk/aws-secretsmanager 中文文档 规范地址：https://npmcn.com/package/%40aws-cdk/aws-secretsmanager/ 版本：1\.204\.0 npm 元数据更新时间：2023-11-21T10:17:01.101Z 中文译文更新时间：2026-11-07T11:13:54.016Z 软件包许可：Apache-2\.0 本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。 原始 npm 页面：https://www.npmjs.com/package/%40aws-cdk/aws-secretsmanager 原文对照：https://npmcn.com/package/%40aws-cdk/aws-secretsmanager/?lang=original 项目主页：https://github.com/aws/aws-cdk 源码仓库：https://github.com/aws/aws-cdk 弃用说明：AWS CDK v1 has reached End-of-Support on 2023-06-01\. This package is no longer being updated, and users should migrate to AWS CDK v2\. For more information on how to migrate, see https://docs\.aws\.amazon\.com/cdk/v2/guide/migrating-v2\.html ## 关键信息（来自 npm 元数据） - 包体积（解压后）：1.1 MB，21 个文件 - 模块格式：CommonJS - TypeScript 类型：包内自带 - Node.js 要求：\>= 14\.15\.0 - 运行依赖：8 个 - peer 依赖：@aws-cdk/aws-ec2 1\.204\.0，@aws-cdk/aws-iam 1\.204\.0，@aws-cdk/aws-kms 1\.204\.0，@aws-cdk/aws-lambda 1\.204\.0，@aws-cdk/aws-sam 1\.204\.0，@aws-cdk/core 1\.204\.0，@aws-cdk/cx-api 1\.204\.0，constructs ^3\.3\.69 - 首次发布：2018-11-19T11:54:15.159Z - 最新版本发布：2023-06-19T21:07:45.423Z - 近 30 天下载量：169822（2026-10-08 至 2026-11-06，npm 官方下载统计） - 已发布版本数：272（近 12 个月 0 个） ## 中文简介 AWS: SecretsManager 的 CDK 构造库 ## 安装 ```sh npm install @aws-cdk/aws-secretsmanager ``` 也可以使用：`pnpm add @aws-cdk/aws-secretsmanager`、`yarn add @aws-cdk/aws-secretsmanager`、`bun add @aws-cdk/aws-secretsmanager` ## README # AWS 机密管理器构建库 * * * ![End-of-Support](https://img.shields.io/badge/End--of--Support-critical.svg?style=for-the-badge) > AWS CDK v1在2023-06-01上达到了支持结束. 此软件包不再更新,用户应该迁移到 AWS CDK v2. > > 关于如何移徙的更多信息,请参见: [_移动到 AWS CDK v2_ 指南](https://docs.aws.amazon.com/cdk/v2/guide/migrating-v2.html)。 。 。 . * * * ```ts import * as secretsmanager from '@aws-cdk/aws-secretsmanager'; ``` ## 在堆栈中创建新密件 为了让SecretsManager自动生成一个新的秘密值, 您可以开始如下: ```ts // Default secret const secret = new secretsmanager.Secret(this, 'Secret'); // Using the default secret new iam.User(this, 'User', { password: secret.secretValue, }); // Templated secret const templatedSecret = new secretsmanager.Secret(this, 'TemplatedSecret', { generateSecretString: { secretStringTemplate: JSON.stringify({ username: 'user' }), generateStringKey: 'password', }, }); // Using the templated secret new iam.User(this, 'OtherUser', { userName: templatedSecret.secretValueFromJson('username').toString(), password: templatedSecret.secretValueFromJson('password'), }); ``` 如果需要使用先前存在的秘密,建议的方法是手动操作 提供其中的秘密 _AWS 保密管理器_ 并使用 `Secret.fromSecretArn` 或者说 `Secret.fromSecretAttributes` 在您的 CDK 应用程序中提供它的方法 : ```ts declare const encryptionKey: kms.Key; const secret = secretsmanager.Secret.fromSecretAttributes(this, 'ImportedSecret', { secretArn: 'arn:aws:secretsmanager:::secret:-', // If the secret is encrypted using a KMS-hosted CMK, either import or reference that key: encryptionKey, }); ``` 秘密管理器的秘密值只能用于所选的一组属性. 给 属性列表,参见 [云格式动态参考文献](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/dynamic-references.html)。 。 。 . 一个秘密可以设置 `RemovalPolicy`如果设定为 `RETAIN`移除一个秘密就会失败. ## 允许将秘密用于某个角色 您必须允许某一资源,才能允许该资源 用一个秘密。 这一点可以通过 `Secret.grantRead` 和(或) `Secret.grantWrite` 方法,视需要而定: ```ts const role = new iam.Role(this, 'SomeRole', { assumedBy: new iam.AccountRootPrincipal() }); const secret = new secretsmanager.Secret(this, 'Secret'); secret.grantRead(role); secret.grantWrite(role); ``` 如果如下例所示, 您的秘密是用 KMS 键创建的 : ```ts declare const role: iam.Role; const key = new kms.Key(this, 'KMS'); const secret = new secretsmanager.Secret(this, 'Secret', { encryptionKey: key }); secret.grantRead(role); secret.grantWrite(role); ``` 接下来 `Secret.grantRead` 财务报告和审定财务报表 `Secret.grantWrite` 还将赋予其作用 通过 KMS 密钥加密和解密相关权限 保密经理服务校长. 本金自动被添加到秘密资源政策和用于交叉账户访问的 KMS Key 政策中: ```ts const otherAccount = new iam.AccountPrincipal('1234'); const key = new kms.Key(this, 'KMS'); const secret = new secretsmanager.Secret(this, 'Secret', { encryptionKey: key }); secret.grantRead(otherAccount); ``` ## 旋转一个秘密 ### 使用自定义 Lambda 函数 使用自定义的 Lambda 函数可添加到密件中的旋转调度 : ```ts import * as lambda from '@aws-cdk/aws-lambda'; declare const fn: lambda.Function; const secret = new secretsmanager.Secret(this, 'Secret'); secret.addRotationSchedule('RotationSchedule', { rotationLambda: fn, automaticallyAfter: Duration.days(15), }); ``` 注意: Lambda 调用 secretsManager 所需的权限,而反之则根据 [AWS 文档](https://docs.aws.amazon.com/secretsmanager/latest/userguide/rotating-secrets-required-permissions.html) 只要Lambda不是进口的. 见 [Lambda旋转函数概览](https://docs.aws.amazon.com/secretsmanager/latest/userguide/rotating-secrets-lambda-function-overview.html) 如何执行Lambda自转功能. ### 使用主机 Lambda 函数 使用 `hostedRotation` 使用主机 Lambda 函数旋转密钥的道具 : ```ts const secret = new secretsmanager.Secret(this, 'Secret'); secret.addRotationSchedule('RotationSchedule', { hostedRotation: secretsmanager.HostedRotation.mysqlSingleUser(), }); ``` 主机旋转是为 MySQL, PostgreSQL, Oracle, MariaDB, SQLServer, RedShift和MongoDB(既用于单一用户计划,也用于多用户计划). 在VPC中部署时,主机旋转执行 `ec2.IConnectable`数字 : ```ts declare const myVpc: ec2.Vpc; declare const dbConnections: ec2.Connections; declare const secret: secretsmanager.Secret; const myHostedRotation = secretsmanager.HostedRotation.mysqlSingleUser({ vpc: myVpc }); secret.addRotationSchedule('RotationSchedule', { hostedRotation: myHostedRotation }); dbConnections.allowDefaultPortFrom(myHostedRotation); ``` 另见 [在 AWS 云阵中自动创建秘密](https://docs.aws.amazon.com/secretsmanager/latest/userguide/integrating_cloudformation.html)。 。 。 . ## 旋转数据库证书 定义 a `SecretRotation` 以旋转数据库证书 : ```ts declare const mySecret: secretsmanager.Secret; declare const myDatabase: ec2.IConnectable; declare const myVpc: ec2.Vpc; new secretsmanager.SecretRotation(this, 'SecretRotation', { application: secretsmanager.SecretRotationApplication.MYSQL_ROTATION_SINGLE_USER, // MySQL single user scheme secret: mySecret, target: myDatabase, // a Connectable vpc: myVpc, // The VPC where the secret rotation application will be deployed excludeCharacters: ' %+:;{}', // characters to never use when generating new passwords; // by default, no characters are excluded, // which might cause problems with some services, like DMS }); ``` 秘密必须是JSON字符串,格式如下: ```json { "engine": "", "host": "", "username": "", "password": "", "dbname": "", "port": "", "masterarn": "" } ``` 对于多用户方案,a `masterSecret` 必须指定: ```ts declare const myUserSecret: secretsmanager.Secret; declare const myMasterSecret: secretsmanager.Secret; declare const myDatabase: ec2.IConnectable; declare const myVpc: ec2.Vpc; new secretsmanager.SecretRotation(this, 'SecretRotation', { application: secretsmanager.SecretRotationApplication.MYSQL_ROTATION_MULTI_USER, secret: myUserSecret, // The secret that will be rotated masterSecret: myMasterSecret, // The secret used for the rotation target: myDatabase, vpc: myVpc, }); ``` 另见 [径](https://github.com/aws/aws-cdk/blob/master/packages/%40aws-cdk/aws-rds/README.md) 地点 证书的生成和轮换是一体化的. ## 导入密钥 现有的秘密可以通过ARN,名称等属性(包括用于加密秘密的KMS密钥)来导入. 由名称导入的秘密应当使用名称的短形(没有由SeclesManager提供的后缀); 3; 密名必须与堆栈在同一账户和区域内存在. 以名称来导入,可以更容易地参考不同区域创造的秘密,每个区域都有自己的后缀和ARN. ```ts const secretCompleteArn = 'arn:aws:secretsmanager:eu-west-1:111111111111:secret:MySecret-f3gDy9'; const secretPartialArn = 'arn:aws:secretsmanager:eu-west-1:111111111111:secret:MySecret'; // No Secrets Manager suffix const encryptionKey = kms.Key.fromKeyArn(this, 'MyEncKey', 'arn:aws:kms:eu-west-1:111111111111:key/21c4b39b-fde2-4273-9ac0-d9bb5c0d0030'); const mySecretFromCompleteArn = secretsmanager.Secret.fromSecretCompleteArn(this, 'SecretFromCompleteArn', secretCompleteArn); const mySecretFromPartialArn = secretsmanager.Secret.fromSecretPartialArn(this, 'SecretFromPartialArn', secretPartialArn); const mySecretFromName = secretsmanager.Secret.fromSecretNameV2(this, 'SecretFromName', 'MySecret') const mySecretFromAttrs = secretsmanager.Secret.fromSecretAttributes(this, 'SecretFromAttributes', { secretCompleteArn, encryptionKey, }); ``` ## 复制机密 机密可以通过具体说明复制到多个区域 `replicaRegions`数字 : ```ts declare const myKey: kms.Key; new secretsmanager.Secret(this, 'Secret', { replicaRegions: [ { region: 'eu-west-1', }, { region: 'eu-central-1', encryptionKey: myKey, } ] }); ``` 或者,使用 `addReplicaRegion()`数字 : ```ts const secret = new secretsmanager.Secret(this, 'Secret'); secret.addReplicaRegion('eu-west-1'); ``` ## 常见问题 ### @aws-cdk/aws-secretsmanager 是什么？ AWS: SecretsManager 的 CDK 构造库注意：该包已被作者标记为弃用——AWS CDK v1 has reached End-of-Support on 2023-06-01\. This package is no longer being updated, and users should migrate to AWS CDK v2\. For more information on how to migrate, see https://docs\.aws\.amazon\.com/cdk/v2/guide/migrating-v2\.html ### 如何安装 @aws-cdk/aws-secretsmanager？ 在项目目录运行 npm install @aws-cdk/aws-secretsmanager，或使用 pnpm add / yarn add / bun add。它还需要宿主项目提供 peer 依赖：@aws-cdk/aws-ec2（1\.204\.0）、@aws-cdk/aws-iam（1\.204\.0）、@aws-cdk/aws-kms（1\.204\.0）、@aws-cdk/aws-lambda（1\.204\.0）、@aws-cdk/aws-sam（1\.204\.0）、@aws-cdk/core（1\.204\.0）、@aws-cdk/cx-api（1\.204\.0）、constructs（^3\.3\.69）。npm 7 及以上与 pnpm 8 及以上默认会自动安装必需的 peer 依赖，Yarn 需要手动安装。 ### @aws-cdk/aws-secretsmanager 支持 TypeScript 吗？ 支持。包内自带 TypeScript 类型声明（package\.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。 ### @aws-cdk/aws-secretsmanager 支持 ESM 还是 CommonJS？ 以 CommonJS 形式发布，可以直接 require\(\)；在 ES Module 项目中也可以用 import 引入（Node\.js 会把 module\.exports 作为默认导出）。 ### @aws-cdk/aws-secretsmanager 需要什么版本的 Node\.js？ package\.json 的 engines 字段要求 Node\.js \>= 14\.15\.0。版本不符时 npm 默认只给出警告，开启 engine-strict 后会拒绝安装。 ### @aws-cdk/aws-secretsmanager 可以商用吗？ @aws-cdk/aws-secretsmanager 使用 Apache-2\.0 许可。宽松许可：允许商业使用、修改和再分发，并附带明确的专利授权；分发时需保留许可与 NOTICE 文件，修改过的文件要注明改动。以上为概括，不构成法律意见，请以许可原文为准。 ### @aws-cdk/aws-secretsmanager 的下载量有多少？ 根据 npm 官方下载统计，@aws-cdk/aws-secretsmanager 在 2026/10/08 – 2026/11/06 这 30 天内被下载 169,822 次，日均约 5,661 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。 ### @aws-cdk/aws-secretsmanager 还在维护吗？ 最新版本 1\.204\.0 发布于 2023/06/20（3 年前）；至今共发布 272 个版本，其中过去 12 个月发布了 0 个；首次发布于 2018/11/19。作者已将其标记为弃用，新项目建议寻找替代方案。