【AWS】SSMを使ってLambdaでセキュアな文字列を扱う

Systems Managerを開く

AWSの画面上部にある検索画面に「ssm」と入力します。

入力して出てきた「Systems Manager」をクリックします。

パラメータストアを作成

左上のハンバーガーボタン（三）をクリックします。

パラメータストアをクリックします。

パラメータの作成をクリックします。

パラメータを作成

取得処理

Lambdaからは下記処理で取得できます。

import {GetParameterCommand, SSMClient} from "@aws-sdk/client-ssm";

export const handler = async (event, context, callback) => {
  // パラメータストアの名前定義
  const ssmParameterName = "/lambda/api-key";

  // SSMクライアント
  const ssmClient = new SSMClient({
    region: "ap-northeast-1",
  });

  // パラメータストアに保存したセキュアな文字列取得
  const apiKey = await ssmClient
    .send(
      new GetParameterCommand({
        Name: ssmParameterName,
        WithDecryption: true,
      }),
    )
    .then((response) => response.Parameter.Value);

  console.log("APIキー", apiKey);
};

IAMポリシー

Lambdaに必要なIAMポリシーは以下の通りです。

Decryptは暗号化されたものを復号するため、
GetParameterがパラメータストアから取得する権限です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "ssm:GetParameter"
      ],
      "Resource": [
        "arn:aws:kms:ap-northeast-1:{アカウントID}:key/{KMSキーID}",
        "arn:aws:ssm:ap-northeast-1:{アカウントID}:parameter/lambda/api-key"
      ]
    }
  ]
}