AWS CDK v2.84.0 で AWS Parameter and Secrets Lambda extension を L2 Construct で構築可能になりました

若槻龍太

2023.06.15

こんにちは、CX事業本部 Delivery部の若槻です。

AWS CDK の v2.84.0 で、 AWS Parameter and Secrets Lambda extension の L2 Construct の提供がサポートされました。

今回は、実際に AWS CDK で AWS Parameter and Secrets Lambda extension を構築して動作を確認してみました。

AWS Parameter and Secrets Lambda extension とは

AWS Parameter and Secrets Lambda extension を構成すると、パラメーターストアおよびシークレットマネージャーの値を Lambda 関数から取得する際に、キャッシュレイヤーを利用することができるようになります。

これによって、値を取得する際の API コールを減らすことができ、コスト削減につながります。
Using the AWS Parameter and Secrets Lambda extension to cache parameters and secrets より

ソースコードの変更を見てみる

Pull Request で実装の変更を見ると、Parameters and Secrets Extension の layer version の実装が追加されています。

diff-4dd0d2f899f720f81417a07132819b767f7d7b5b25e1e6f161e91fd643fbc6c3 - feat(lambda): provide support for AWS Parameters and Secrets Extension for Lambda by colifran · Pull Request #25928 · aws/aws-cdk

packages/aws-cdk-lib/aws-lambda/lib/params-and-secrets-layers.ts

/**
 * Parameters and Secrets Extension layer version
 */
export abstract class ParamsAndSecretsLayerVersion {
  /**
   * Use the Parameters and Secrets Extension associated with the provided ARN. Make sure the ARN is associated
   * with the same region and architecture as your function.
   *
   * @see https://docs.aws.amazon.com/secretsmanager/latest/userguide/retrieving-secrets_lambda.html#retrieving-secrets_lambda_ARNs
   */
  public static fromVersionArn(arn: string, options: ParamsAndSecretsOptions = {}): ParamsAndSecretsLayerVersion {
    return new (class extends ParamsAndSecretsLayerVersion {
      public _bind(_scope: Construct, _fn: IFunction): ParamsAndSecretsBindConfig {
        return {
          arn,
          environmentVars: this.environmentVariablesFromOptions,
        };
      }
    })(options);
  }

  // 中略

実装

実際に実装を行います。Lambda 関数および AWS CDK スタックは TypeScript で実装します。

CDK ライブラリのアップグレード

CDK ライブラリを最新バージョンにアップグレードします。

npm install aws-cdk aws-cdk-lib

アップグレードされました。

package.json

{
  "devDependencies": {
-    "aws-cdk": "^2.77.0",
+    "aws-cdk": "^2.84.0",
  },
  "dependencies": {
-    "aws-cdk-lib": "^2.77.0",
+    "aws-cdk-lib": "^2.84.0",
  }
}

Lambda 関数

パラメーターストアおよびシークレットマネージャーから、値を取得する Lambda 関数を作成します。

lib/cdk-sample-stack.sampleFunc.ts

import axios from 'axios';

const AWS_SESSION_TOKEN = process.env['AWS_SESSION_TOKEN'] || '';

export const handler = async (): Promise<any> => {
  const getParameterResponse = await axios.get(
    'http://localhost:2773/systemsmanager/parameters/get',
    {
      params: {
        name: encodeURIComponent('/my/parameter'), // "/" の URI エンコードが必要
      },
      headers: {
        'X-Aws-Parameters-Secrets-Token': AWS_SESSION_TOKEN,
      },
    }
  );

  const getSecretResponse = await axios.get(
    'http://localhost:2773/secretsmanager/get',
    {
      params: {
        secretId: '/my/secret',
      },
      headers: {
        'X-Aws-Parameters-Secrets-Token': AWS_SESSION_TOKEN,
      },
    }
  );

  return {
    parameter: getParameterResponse.data.Parameter,
    secret: getSecretResponse.data,
  };
};

CDK スタック

AWS CDK で、AWS Parameters and Secrets Lambda Extension を設定した Lambda 関数を作成します。

lib/cdk-sample-stack.ts

import {
  aws_lambda_nodejs,
  aws_lambda,
  aws_ssm,
  aws_secretsmanager,
  Stack,
  StackProps,
} from 'aws-cdk-lib';
import { Construct } from 'constructs';

export class CdkSampleStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // パラメーターの作成
    const parameter = new aws_ssm.StringParameter(this, 'Parameter', {
      parameterName: '/my/parameter',
      stringValue: 'mySsmParameterValue',
    });

    // シークレットの作成
    const secret = new aws_secretsmanager.Secret(this, 'Secret', {
      secretName: '/my/secret',
      generateSecretString: {
        secretStringTemplate: JSON.stringify({
          username: 'myUsername',
        }),
        generateStringKey: 'password',
      },
    });

    // AWS Parameters and Secrets Lambda Extension の作成
    const paramsAndSecrets =
      aws_lambda.ParamsAndSecretsLayerVersion.fromVersion(
        aws_lambda.ParamsAndSecretsVersions.V1_0_103,
        {
          cacheSize: 500,
          logLevel: aws_lambda.ParamsAndSecretsLogLevel.DEBUG,
        }
      );

    // Lambda 関数の作成
    const nodejsFunction = new aws_lambda_nodejs.NodejsFunction(
      this,
      'sampleFunc',
      {
        functionName: 'sampleFunc',
        runtime: aws_lambda.Runtime.NODEJS_18_X,
        architecture: aws_lambda.Architecture.ARM_64,
        paramsAndSecrets, // AWS Parameters and Secrets Lambda Extension を Lambda 関数に追加
      }
    );

    parameter.grantRead(nodejsFunction);
    secret.grantRead(nodejsFunction);
  }
}

動作確認

キャッシュヒットしない場合は現在のパラメーターおよびシークレットの値が取得され、キャッシュヒットした場合はキャッシュが使用されることを確認してみます。

Lambda 関数初回実行

まずはじめに、Lambda 関数を実行すると、パラメーターおよびシークレットの値が取得されています。

$ aws lambda invoke --function-name sampleFunc response.json
{
    "StatusCode": 200,
    "ExecutedVersion": "$LATEST"
}

$ cat response.json | jq .
{
  "parameter": {
    "ARN": "arn:aws:ssm:ap-northeast-1:XXXXXXXXXXXX:parameter/my/parameter",
    "DataType": "text",
    "LastModifiedDate": "2023-06-15T15:21:41.077Z",
    "Name": "/my/parameter",
    "Selector": null,
    "SourceResult": null,
    "Type": "String",
    "Value": "mySsmParameterValue",
    "Version": 1
  },
  "secret": {
    "ARN": "arn:aws:secretsmanager:ap-northeast-1:XXXXXXXXXXXX:secret:/my/secret-v5FM84",
    "CreatedDate": "2023-06-15T15:28:32.671Z",
    "Name": "/my/secret",
    "SecretBinary": null,
    "SecretString": "{\"password\":\"yL214g'6RB7;<iu}e0k/*}n\\\\?y~1Ks{_\",\"username\":\"myUsername\"}",
    "VersionId": "c9a8da7d-1613-02f1-f5d9-b7ff1e366b5a",
    "VersionStages": ["AWSCURRENT"],
    "ResultMetadata": {}
  }
}

キャッシュヒットした場合

パラメーターおよびシークレットの値を更新します。

aws ssm put-parameter \
    --name "/my/parameter" \
    --value "mySsmParameterValue2" \
    --overwrite

aws secretsmanager put-secret-value \
    --secret-id "/my/secret" \
    --secret-string "{\"password\":\"myPassword\",\"username\":\"myUsername\"}"

再度 Lambda 関数を実行すると、キャッシュヒットが発生し、更新前の値が取得されています。

$ aws lambda invoke --function-name sampleFunc response.json
{
    "StatusCode": 200,
    "ExecutedVersion": "$LATEST"
}

$ cat response.json | jq .
{
  "parameter": {
    "ARN": "arn:aws:ssm:ap-northeast-1:XXXXXXXXXXXX:parameter/my/parameter",
    "DataType": "text",
    "LastModifiedDate": "2023-06-15T15:21:41.077Z",
    "Name": "/my/parameter",
    "Selector": null,
    "SourceResult": null,
    "Type": "String",
    "Value": "mySsmParameterValue",
    "Version": 1
  },
  "secret": {
    "ARN": "arn:aws:secretsmanager:ap-northeast-1:XXXXXXXXXXXX:secret:/my/secret-v5FM84",
    "CreatedDate": "2023-06-15T15:28:32.671Z",
    "Name": "/my/secret",
    "SecretBinary": null,
    "SecretString": "{\"password\":\"yL214g'6RB7;<iu}e0k/*}n\\\\?y~1Ks{_\",\"username\":\"myUsername\"}",
    "VersionId": "c9a8da7d-1613-02f1-f5d9-b7ff1e366b5a",
    "VersionStages": [
      "AWSCURRENT"
    ],
    "ResultMetadata": {}
  }
}

キャッシュヒットしない場合

Lambda 関数を更新してキャッシュを削除します。

aws lambda update-function-configuration \
  --function-name sampleFunc \
  --description "hoge"

再度 Lambda 関数を実行すると、キャッシュヒットが発生せず、更新後の値が取得されています。

$ aws lambda invoke --function-name sampleFunc response.json
{
    "StatusCode": 200,
    "ExecutedVersion": "$LATEST"
}

$ cat response.json | jq .
{
  "parameter": {
    "ARN": "arn:aws:ssm:ap-northeast-1:XXXXXXXXXXXX:parameter/my/parameter",
    "DataType": "text",
    "LastModifiedDate": "2023-06-15T15:54:08.891Z",
    "Name": "/my/parameter",
    "Selector": null,
    "SourceResult": null,
    "Type": "String",
    "Value": "mySsmParameterValue2",
    "Version": 2
  },
  "secret": {
    "ARN": "arn:aws:secretsmanager:ap-northeast-1:XXXXXXXXXXXX:secret:/my/secret-v5FM84",
    "CreatedDate": "2023-06-15T15:54:16.869Z",
    "Name": "/my/secret",
    "SecretBinary": null,
    "SecretString": "{\"password\":\"myPassword\",\"username\":\"myUsername\"}",
    "VersionId": "becaebc0-af98-4857-abc1-3735f04c868d",
    "VersionStages": [
      "AWSCURRENT"
    ],
    "ResultMetadata": {}
  }
}

Extension を利用して開発効率を向上させよう

次の記事の通り、パフォーマンス観点では本 Extension を使うよりも自前実装による Lambda 関数ランタイム本体のメモリ上へのキャッシュの方が優れている傾向にあります。

ただし、本 Extension を使うことでロジックのテストやメンテナンスは不要となるため、開発効率の向上は期待できます。また今回の L2 Construct で利用できるクラスの提供により、さらに利用が簡単になったことでしょう。是非、活用してみてください。

参考

以上

AWS CDK v2.84.0 で AWS Parameter and Secrets Lambda extension を L2 Construct で構築可能になりました

AWS Parameter and Secrets Lambda extension とは

ソースコードの変更を見てみる

実装

CDK ライブラリのアップグレード

Lambda 関数

CDK スタック

動作確認

Lambda 関数初回実行

キャッシュヒットした場合

キャッシュヒットしない場合

Extension を利用して開発効率を向上させよう

参考

イベント

EVENT【6/5（水）】QuickSightとTableauのデモで営業分析を解説！アクションに繋げるダッシュボード設計

EVENT【5/29（水）大阪】Alteryxの使い方から導入メリットまですべてがわかるセミナー＆ワークショップ

EVENT【5/15（水）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/8リモート】クラスメソッドのフリーランスエンジニア会社説明会〜フィンテック / リテール業界案件特集〜を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

AWS CDK v2.84.0 で AWS Parameter and Secrets Lambda extension を L2 Construct で構築可能になりました

AWS Parameter and Secrets Lambda extension とは

ソースコードの変更を見てみる

実装

CDK ライブラリのアップグレード

Lambda 関数

CDK スタック

動作確認

Lambda 関数初回実行

キャッシュヒットした場合

キャッシュヒットしない場合

Extension を利用して開発効率を向上させよう

参考

イベント

EVENT【6/5（水）】QuickSightとTableauのデモで営業分析を解説！アクションに繋げるダッシュボード設計

EVENT【5/29（水）大阪】Alteryxの使い方から導入メリットまですべてがわかるセミナー＆ワークショップ

EVENT【5/15（水）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/8リモート】クラスメソッドのフリーランスエンジニア会社説明会 〜フィンテック / リテール 業界案件特集〜 を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金） 名古屋】クラスメソッドグループの会社説明会を開催します！

関連記事

コミュニティ駆動のCDK Construct！open-constructsを使ってみた

AWS CDK の aws_s3_assets モジュールを使ってアップロードしたアセットを、EC2 インスタンスにダウンロード可能にしてみた

Amazon EC2 の AMI カタログで、「Deep Learning Base OSS Nvidia Driver GPU AMI (Ubuntu 22.04)」が公開されていたので、AWS CDK で起動して NICE DCV でリモートデスクトップ接続してみた

【CDK】Step FuctionsでGlue Python Shellを実行

EVENT【5/8リモート】クラスメソッドのフリーランスエンジニア会社説明会〜フィンテック / リテール業界案件特集〜を開催します

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！