在 Aws 控制台模板选项卡中隐藏 CloudFormation/SAM 秘密
Hiding CloudFormation/SAM secret in Aws Console Template tab
假设我在 Cloud Formation（或 SAM）模板中有以下秘密，我将其作为堆栈的一部分部署到我的 AWS IAM 帐户（当然还有由运行的脚本动态分配的 SecretString 的敏感值云阵部署):
Resources:
MySecret:
Type: AWS::SecretsManager::Secret
Properties:
Name: MySecret
Description: Embarssing fact I want to keep secret
SecretString: "I_think_Twighlight_Sparkle_is_cool"
当我检查 aws 控制台上的堆栈页面时，我注意到“模板”选项卡以纯文本形式显示了包括此机密在内的整个模板。
这对我来说似乎非常不受欢迎，我想知道是否有某种方法可以减轻我所缺少的。虽然只有有权访问 IAM 帐户的人才能访问 aws 控制台，但似乎不希望以纯文本形式弹出秘密，除非有人特别要求查看它们。
有人知道缓解这种情况的好方法吗？
根据您的解释，我假设您只想在从控制台查看时隐藏明文值。使用您的方法可以获得的最接近的方法是在参数中使用 NoEcho。
您可以做的一个例子是将要屏蔽的字符串移到参数中，然后将参数 属性 NoEcho 设置为 True，然后您只需要在资源中引用该参数值。
但是，这不会解决您的值在模板中可见的问题，正如文档所指出的：
"we recommend you use dynamic parameters in the stack template to reference sensitive information that is stored and managed outside of CloudFormation"
这就是说，使用您当前的体系结构，您无法将值隐藏在模板中。相反，您需要引用模板外部的值或创建一个精心制作的 custom resource 来创建您的秘密值。除此之外，正如您所指出的，可以通过 IAM 权限进行限制。
另一种选择是使用 Secrets Manager 管理机密并在 CF 模板中使用这些机密。
假设我在 Cloud Formation（或 SAM）模板中有以下秘密，我将其作为堆栈的一部分部署到我的 AWS IAM 帐户（当然还有由运行的脚本动态分配的 SecretString 的敏感值云阵部署):
Resources:
MySecret:
Type: AWS::SecretsManager::Secret
Properties:
Name: MySecret
Description: Embarssing fact I want to keep secret
SecretString: "I_think_Twighlight_Sparkle_is_cool"
当我检查 aws 控制台上的堆栈页面时，我注意到“模板”选项卡以纯文本形式显示了包括此机密在内的整个模板。
这对我来说似乎非常不受欢迎，我想知道是否有某种方法可以减轻我所缺少的。虽然只有有权访问 IAM 帐户的人才能访问 aws 控制台，但似乎不希望以纯文本形式弹出秘密，除非有人特别要求查看它们。
有人知道缓解这种情况的好方法吗？
根据您的解释，我假设您只想在从控制台查看时隐藏明文值。使用您的方法可以获得的最接近的方法是在参数中使用 NoEcho。
您可以做的一个例子是将要屏蔽的字符串移到参数中，然后将参数 属性 NoEcho 设置为 True，然后您只需要在资源中引用该参数值。
但是，这不会解决您的值在模板中可见的问题，正如文档所指出的：
"we recommend you use dynamic parameters in the stack template to reference sensitive information that is stored and managed outside of CloudFormation"
这就是说，使用您当前的体系结构，您无法将值隐藏在模板中。相反，您需要引用模板外部的值或创建一个精心制作的 custom resource 来创建您的秘密值。除此之外，正如您所指出的，可以通过 IAM 权限进行限制。
另一种选择是使用 Secrets Manager 管理机密并在 CF 模板中使用这些机密。