AWS Parameters and Secrets Lambda Extension vs AWS SDK

AWS SDKの圧勝。

特別な理由が無いならAWS Parameters and Secrets Lambda Extensionは用いず、AWS SDKなどで素直にSecrets ManagerやParameter StoreのAPIを呼び出した方が良い。

---

AWSのLambda関数からSecrets ManagerやParameter Storeの秘密情報を参照する際には、パフォーマンスやコスト面でハンドラ内で都度取得するのではなく、一度取得した値をキャッシュしておくことが望ましい。

これ行うためのLamda拡張機能が提供されている。

docs.aws.amazon.com

しかし、どうにもこの拡張機能が取り回ししづらい。自身でAWS SDKを用いるなどしてAPIを呼び出し、キャッシュした方が良いように思えた。

ざっと比較しておく。

• 使用される権限
  • どちらもLambda関数の実行ロール*1なので差が無い
• 使用する準備
  • AWS SDKは言語毎のパッケージ管理ツールで管理できる
    • 実行形態を問われることもない
  • 拡張機能はコンテナかどうかで異なる
    • コンテナでないなら対応するLambdaレイヤーを追加する
    • コンテナならイメージ内にバイナリを配置する
      • このバイナリのアーカイブの取得にAWSの認証を求められるためビルドが煩雑になる
        • かなり面倒くさい
      • 参照: AWS Lambda 関数で AWS Secrets Manager シークレットを使用する - AWS Secrets Manager
• 使用の制限
  • AWS SDKは特に制限はない、いつでも取得できる
  • 拡張機能は初期化フェーズには呼び出せない
    • 400応答になる
    • 参考
      • AWS lambdaの拡張機能を使ってパラメータストアを取得するときに注意すること #SSM - Qiita
      • 【ナレッジ】AWS Parameters and Secrets Lambda Extension は、ハンドラー関数内から呼び出さないと400Errorになる #Python - Qiita

以上！