AWS SDK Secrets Manager आणि SSM Parameter Store: Config सुरक्षित वाचा (Python, PHP, Node.js)

By Ravindra Bagale, trainer · LinkedIn · Last updated: 24 October 2026

1. मोठं चित्र: hotel safe

हे का लागतं?

Passport hotel च्या दाराला चिकटवत नाही. Room safe मध्ये ठेवता आणि लागेल तेव्हा उघडता. Secrets Manager = passwords साठी safe; Parameter Store = settings साठी notice board, sensitive साठी locked भाग.

हे काय आहे?

GetSecretValue SecretString देतं. WithDecryption सह GetParameter SecureString वाचतं. दोन्ही KMS ने encrypted; कोण वाचू शकतो ते IAM ठरवतं.

कसं करायचं (step by step)

2. Secret बनवा आणि वाचा

हे का लागतं?

Lucas ला Brazil database चा Postgres password कोणालाही code मध्ये न दिसता हवा.

हे काय आहे?

SecretString मध्ये JSON ठेवा म्हणजे एका secret मध्ये username, password, host. वाचून JSON parse करा.

कसं करायचं (step by step)

1. Python: secret बनवा.

import boto3, json
sm = boto3.client("secretsmanager", region_name="sa-east-1")
r = sm.create_secret(Name="payments/db",
    SecretString=json.dumps({"user": "pay_app", "password": "Xy7!q2-Lm9", "host": "db.internal", "port": 5432}))
print(r["ARN"])

अपेक्षित output:

arn:aws:secretsmanager:sa-east-1:123456789012:secret:payments/db-AbCdEf

2. Node.js: वाचून parse.

import { SecretsManagerClient, GetSecretValueCommand } from "@aws-sdk/client-secrets-manager";
const sm = new SecretsManagerClient({ region: "sa-east-1" });
const { SecretString } = await sm.send(new GetSecretValueCommand({ SecretId: "payments/db" }));
const db = JSON.parse(SecretString);
console.log(db.user, db.host, db.port);

अपेक्षित output:

pay_app db.internal 5432

3. PHP: वाचून PDO DSN.

<?php
require "vendor/autoload.php";
$sm = new Aws\SecretsManager\SecretsManagerClient(["region" => "sa-east-1"]);
$db = json_decode($sm->getSecretValue(["SecretId" => "payments/db"])["SecretString"], true);
$dsn = "pgsql:host={$db["host"]};port={$db["port"]};dbname=payments";
echo $dsn, PHP_EOL;

अपेक्षित output:

pgsql:host=db.internal;port=5432;dbname=payments

4. Verify: secret describe (value दाखवत नाही).

aws secretsmanager describe-secret --secret-id payments/db --region sa-east-1 --query "[Name,LastChangedDate]" --output text

अपेक्षित output:

payments/db  2026-10-24T12:10:00+05:30

3. Update आणि rotate

हे का लागतं?

चेन्नईची security team दर 30 दिवसांनी प्रत्येक database password rotate करते.

हे काय आहे?

PutSecretValue नवीन version AWSCURRENT म्हणून लिहितो; जुना AWSPREVIOUS होतो. RotateSecret schedule वर rotation Lambda चालवतो.

कसं करायचं (step by step)

1. Python: नवीन password बनवून साठवा.

pw = sm.get_random_password(PasswordLength=24, ExcludePunctuation=True)["RandomPassword"]
cur = json.loads(sm.get_secret_value(SecretId="payments/db")["SecretString"])
cur["password"] = pw
v = sm.put_secret_value(SecretId="payments/db", SecretString=json.dumps(cur))
print(v["VersionStages"])

अपेक्षित output:

['AWSCURRENT']

2. Node.js: automatic rotation चालू.

import { RotateSecretCommand } from "@aws-sdk/client-secrets-manager";
await sm.send(new RotateSecretCommand({
  SecretId: "payments/db",
  RotationLambdaARN: "arn:aws:lambda:sa-east-1:123456789012:function:pg-rotator",
  RotationRules: { ScheduleExpression: "rate(30 days)" },
}));
console.log("rotation on");

अपेक्षित output:

rotation on

3. PHP: मागचं version वाचा (rollback साठी).

<?php
$old = $sm->getSecretValue(["SecretId" => "payments/db", "VersionStage" => "AWSPREVIOUS"]);
echo json_decode($old["SecretString"])->user, " previous version ok", PHP_EOL;

अपेक्षित output:

pay_app previous version ok

4. Verify: versions list.

aws secretsmanager list-secret-version-ids --secret-id payments/db --region sa-east-1 --query "Versions[].VersionStages" --output text

अपेक्षित output:

AWSPREVIOUS
AWSCURRENT

4. Parameter Store settings

हे का लागतं?

Sneha प्रत्येक environment साठी feature flags, UPI gateway URL आणि Stripe key ठेवते.

हे काय आहे?

Parameters ना /payments/prod/... असे path names द्या. Plain values साठी String, secrets साठी SecureString. GetParametersByPath पूर्ण tree वाचतो (page ला 10, paginate करा).

कसं करायचं (step by step)

1. Python: तीन parameters ठेवा.

ssm = boto3.client("ssm", region_name="ap-south-2")
ssm.put_parameter(Name="/payments/prod/upi_url", Value="https://upi.example.in/v2", Type="String", Overwrite=True)
ssm.put_parameter(Name="/payments/prod/max_txn_inr", Value="200000", Type="String", Overwrite=True)
ssm.put_parameter(Name="/payments/prod/stripe_key", Value="sk_live_51abc", Type="SecureString", Overwrite=True)
print("3 saved")

अपेक्षित output:

3 saved

2. Node.js: एक SecureString वाचा.

import { SSMClient, GetParameterCommand } from "@aws-sdk/client-ssm";
const ssm = new SSMClient({ region: "ap-south-2" });
const r = await ssm.send(new GetParameterCommand({ Name: "/payments/prod/stripe_key", WithDecryption: true }));
console.log(r.Parameter.Type, r.Parameter.Value.slice(0, 8) + "…");

अपेक्षित output:

SecureString sk_live_…

3. PHP: paginator ने पूर्ण path.

<?php
$ssm = new Aws\Ssm\SsmClient(["region" => "ap-south-2"]);
$cfg = [];
foreach ($ssm->getPaginator("GetParametersByPath", ["Path" => "/payments/prod/", "WithDecryption" => true]) as $page)
    foreach ($page["Parameters"] as $p) $cfg[basename($p["Name"])] = $p["Value"];
ksort($cfg); echo implode(",", array_keys($cfg)), PHP_EOL;

अपेक्षित output:

max_txn_inr,stripe_key,upi_url

4. Verify: parameters describe.

aws ssm describe-parameters --parameter-filters Key=Path,Values=/payments/prod --region ap-south-2 --query "Parameters[].[Name,Type]" --output text

अपेक्षित output:

/payments/prod/max_txn_inr  String
/payments/prod/stripe_key   SecureString
/payments/prod/upi_url      String

5. Values cache करा

हे का लागतं?

सेकंदाला 500 requests ला प्रत्येक वेळी AWS call हळू, महाग, आणि throttling लागतं.

हे काय आहे?

एकदा वाचून काही मिनिटं memory मध्ये ठेवा. Python ला official caching library; छोटा TTL cache सगळीकडे चालतो. Lambda वर Parameters and Secrets extension localhost:2773 वर हे करतं.

कसं करायचं (step by step)

1. Python: official cache.

# pip install aws-secretsmanager-caching
from aws_secretsmanager_caching import SecretCache, SecretCacheConfig
cache = SecretCache(config=SecretCacheConfig(secret_refresh_interval=300), client=sm)
for _ in range(3):
    print(json.loads(cache.get_secret_string("payments/db"))["user"])

अपेक्षित output:

pay_app
pay_app
pay_app   (one API call)

2. Node.js: छोटा TTL cache.

const cache = new Map();
async function param(name, ttl = 300_000) {
  const hit = cache.get(name);
  if (hit && hit.exp > Date.now()) return hit.v;
  const r = await ssm.send(new GetParameterCommand({ Name: name, WithDecryption: true }));
  cache.set(name, { v: r.Parameter.Value, exp: Date.now() + ttl });
  return r.Parameter.Value;
}
console.log(await param("/payments/prod/max_txn_inr"), await param("/payments/prod/max_txn_inr"));

अपेक्षित output:

200000 200000   (second read from memory)

3. PHP: SDK call भोवती APCu cache.

<?php
function param(Aws\Ssm\SsmClient $ssm, string $n): string {
    $v = apcu_fetch($n, $ok);
    if ($ok) return $v;
    $v = $ssm->getParameter(["Name" => $n, "WithDecryption" => true])["Parameter"]["Value"];
    apcu_store($n, $v, 300);
    return $v;
}
echo param($ssm, "/payments/prod/upi_url"), PHP_EOL;

अपेक्षित output:

https://upi.example.in/v2

4. Verify: Lambda वर extension ने वाचा.

curl -s -H "X-Aws-Parameters-Secrets-Token: $AWS_SESSION_TOKEN" "localhost:2773/systemsmanager/parameters/get?name=/payments/prod/upi_url" | jq -r .Parameter.Value

अपेक्षित output:

https://upi.example.in/v2

6. हाच call Java, Go, .NET आणि CLI मध्ये

हे का लागतं?

Teams अनेकदा भाषा मिसळतात. Python, PHP आणि Node.js मध्ये call समजला की बाकीचे SDKs म्हणजे तोच API, फक्त syntax वेगळा.

हे काय आहे?

सगळे GetSecretValue API call करतात. Terminal मधून पटकन test करायला CLI ओळ वापरा.

कसं करायचं (step by step)

7. काहीही खर्च चालू राहू नये म्हणून cleanup

हे का लागतं?

चालू ठेवलेले lab resources पैसे खातात आणि security risk बनतात.

हे काय आहे?

उलट्या क्रमाने delete करा: आधी children, मग parents.

कसं करायचं (step by step)

1. Secret व parameters delete.

aws secretsmanager delete-secret --secret-id payments/db --force-delete-without-recovery --region sa-east-1
aws ssm delete-parameters --names /payments/prod/upi_url /payments/prod/max_txn_inr /payments/prod/stripe_key --region ap-south-2

अपेक्षित output:

(no output means success)

8. मुलाखत प्रश्न आणि उत्तरं

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.