php小编子墨为您带来最新的 Secrets Manager 更新密钥技巧：密钥字符串附加 JSON 编码。这个技巧可以让您更加灵活和安全地管理密钥，同时还能提供更多的功能和选项。通过将密钥字符串与 JSON 编码结合起来，您可以轻松地添加额外的信息和属性，例如密钥的有效期或者访问权限。这个更新将大大增强您对密钥的控制和管理能力，让您的应用程序更加安全可靠。快来了解这个令人兴奋的新功能吧！
问题内容
我正在使用 aws cli 更新包含 x509 证书的 json 密钥。我传递到 --secret-string 参数的有效负载是我期望的编码，但在上传并存储在 aws 中时，secretsmanager 正在对换行符执行附加编码。
问题
我遇到的问题是，在解组秘密时，pem 和关键内容并未完全转义。我在 go 中有一个应用程序服务器，当将机密传递到 tls.x509keypair() 时，它无法识别证书的内容。
我可以在网络上手动将 cli 命令中的有效负载粘贴到密钥中，它会保留现有的格式，并且我的代码可以正常工作。
我主要想看看是否可以做一些事情来修复上传编码，而不是在获取秘密时必须在 go 中格式化/取消转义 pem/key 内容。
示例：
cli 命令：
aws secretsmanager update-secret --secret-id my-secret --secret-string '{"pem":"-----begin certificate-----
...
...
...
-----end certificate-----
","key":"..."}'
实际上传的秘密：
{"PEM":"-----BEGIN CERTIFICATE-----\\n...\\n...\\n...\\n-----END CERTIFICATE-----\\n",,"KEY":"..."}
我使用 awk 来加入 pem 内容，并使用 jq 来更新 + 字符串化 json。字符串化的 json 是我正在寻找的正确格式。
awk: string_pem=$(awk '{printf "%s\n", $0}' $pemfile)
jq: secret_string=$(jq -r 'tostring' $updated_secret)
解决方法
我可以确认此命令设置的秘密
aws secretsmanager update-secret --secret-id my-secret --secret-string '{"pem":"-----begin certificate-----
...
...
...
-----end certificate-----
","key":"..."}'
按预期工作（请参阅本答案底部的 go 演示）。
这是一个完成整个事情的简化命令：
aws secretsmanager update-secret --secret-id -secret --secret-string "$(jq -n --arg cert "$(cat /path/to/cert/file)" --arg key "$(cat /path/to/key/file)" -c '{"pem": $cert, "key": $key}')"
这是一个用于验证上传内容的 go 演示：
package main
import (
"context"
"crypto/tls"
"encoding/json"
"github.com/aws/aws-sdk-go-v2/aws"
"github.com/aws/aws-sdk-go-v2/config"
"github.com/aws/aws-sdk-go-v2/service/secretsmanager"
)
func main() {
secretName := "test1"
region := "ap-southeast-1"
config, err := config.LoadDefaultConfig(context.TODO(), config.WithRegion(region))
if err != nil {
panic(err)
}
svc := secretsmanager.NewFromConfig(config)
input := &secretsmanager.GetSecretValueInput{
SecretId: aws.String(secretName),
}
result, err := svc.GetSecretValue(context.TODO(), input)
if err != nil {
panic(err)
}
var secret struct {
PEM string `json:"PEM"`
KEY string `json:"KEY"`
}
{
}
if err := json.Unmarshal([]byte(*result.SecretString), &secret); err != nil {
panic(err)
}
if _, err := tls.X509KeyPair([]byte(secret.PEM), []byte(secret.KEY)); err != nil {
panic(err)
}
}
