今回のお題

IAMの暗号化キーを生成し、その暗号キーを用いてLambdaの環境変数を暗号化する。
暗号化したものをPythonで複合化して、表示してみる。

暗号化キーを作成する

IAM > 暗号化キーを選択する。

リージョンを東京に変更する

画面上部のキーの作成を押下する

エイリアスを入力し、KMSを選択する。

今回はテストなので「test/key」としました。
入力・選択を終えたら、画面下部の「次のステップ」押下

タグキーを入力

入力したら画面下部の「次のステップ」押下

キー管理者を設定

本来は、ちゃんと設定するのでしょうが、今回はlambdaのデフォルトで用意されている「lambda_basic_execution」を設定しました。
あと、自分のAWSのログインIDも設定します（変更したりできるようにするため)

キーの使用者の設定

こちらも同じく「lambda_basic_execution」とAWSの自分のIDを設定しておきます。

完了

作成が終えると、キーの一覧に表示されます。

Lambdaの環境変数を設定し、暗号化する

サービス > lambdaを選択し、ソースインラインの下にある環境変数に値を入れ、暗号化を設定していきます。

環境変数に値を入れる

暗号化の設定を開く

「伝送中の暗号化のためのヘルパーの有効化」のチェックをONにすると、伝送中に暗号化するKMSキーが表示されます。

前手順で作成したKMSキーを選ぶ

リスト式ですので、クリックすると設定されている一覧が表示されます。
先ほど作成したKMSキーを選択しましょう。

環境変数の暗号化を押下する

KMSキーを設定すると、環境変数に暗号化ボタンが表示されますので、押下します。

↓

Pythonで環境変数を読み込んでみる。

Lambdaで、下記のようなソースを記載します。

# coding: UTF-8

import os

def lambda_handler(event, context):
    print('~~~~~環境変数表示~~~~~')
    print(os.environ['test'])

保存して、実行します。
ログには、下記のように表示されました。
無事に暗号化できているようです。

復号化してみる

復号化は、簡単でした。
下記のようなソースを記載し、実行して見ます。

# coding: UTF-8
from base64 import b64decode
import boto3
import os

def lambda_handler(event, context):
    kms = boto3.client('kms')
    decrypt_text = kms.decrypt(CiphertextBlob=b64decode(os.environ['test']))['Plaintext']

    print("~~~~~~~~~~~~~~復号化確認~~~~~~~~~~~~~~~~")
    print(os.environ['test'])
    print(decrypt_text)

実行結果
↓

まとめ。

環境変数に対する暗号化・復号化が非常に簡単にできました。
すごい便利ですねこれ。ロールをきちんと考えれば、セキュリティ的にも大丈夫な気がします。