[アップデート] Lambdaから直接Parameter Store/Secrets Managerから値を取得できるようになりました！

こんにちは　新卒の南です。

今回のアップデートでLambdaから直接Parameter Store, Secrets Managerから値を取得できるようになりましたのでご紹介します。

アップデート概要

これまでLambdaでParameter StoreやSecrets Managerから値を取得する際はSDK経由で直接APIを叩いていました。
それぞれAPIのコールごとに課金(パラメータストアAPIインタラクション1万回ごとに0.05 USD)されますので、自前でキャッシュを実装していた方もいるのではないでしょうか？
今回のアップデートではLambdaから直接値を取ってこれるようになっただけではなく、AWS側でキャッシュしてくれることで、コストの削減•レイテンシーの改善を行うことができるようになります。

また、仕組みとしてはLambda Extensionsを使っており、関数呼び出しとは別に並列で処理を行い、値を取得しローカルキャッシュに保存します。

Lambda Extensionsに関しては以下のブログをご覧ください。

ちなみにArmアーキテクチャではまだサポートされていません。

やってみた

Parameter Storeを例にやってみました。

公式リファレンス
パラメーターストア
シークレットマネージャー

権限周り

SDKで実装していた時と同様、実行ロールに権限を渡す必要があります。

• ssm:GetParameter

また、暗号化されている場合(SecureStringの場合)は

• kms:DecryptSecureString

を付与する必要があります。

Lambda Extensionsの追加

「レイヤー」からExtensionsを追加します。　マネジメントコンソールの場合は 「AWS レイヤー」→ 「AWS-Parameters-and-Secrets-Lambda-Extension」を選択してください。

CLI等で設定する場合は公式リファレンスに記載のARNを入力して設定します。(ARNはリージョン毎に値が異なります。)

環境変数の追加

環境変数を設定することで、キャッシュのTTLなど細かい値を制御することができます。

値の取得方法

ローカルホストに対して以下のようなHTTPリクエストを行うことで値を取得することができます。

GET: /systemsmanager/parameters/get?name=parameter-path?version=version&label=label&withDecryption={true|false}

parameter-pathに関してはParameter storeのNameと ARNで指定することが可能です。

注意点

• パスに含まれる/(スラッシュ)はエスケープする必要があります。
  • 例 「/abc/def/hij/」の場合は「%20/abc%20/def%20/hij%20/」
• 検証の為「X-Aws-Parameters-Secrets-Token 」ヘッダーに「AWS_SESSION_TOKEN 」を設定する必要があります
• デフォルトのポートは2773となっています。（環境変数で変更可能）

サンプル

import requests
import os

def get_parameter():
    end_point = 'http://localhost:2773'
    path = '/systemsmanager/parameters/get/?name=test_param'
    url = end_point + path
    headers = {
        'X-Aws-Parameters-Secrets-Token': os.environ['AWS_SESSION_TOKEN']
    }

    res = requests.get(url, headers=headers)

最後に

Twitterの反応を見ていると、割と多くの方が望んでいたアップデートのように見受けれらます。自前でキャッシュを実装する必要がなくなったので、嬉しい方も多いのではないでしょうか？
また、今回のアップデートではArmアーキテクチャではまだサポートされていませんので、こちらも対応してくれることを期待ですね！