تخزين بيانات الاعتماد في Secrets Manager

تُعد كلمات مرور قواعد البيانات ومفاتيح API المضمّنة مباشرةً في التعليمات البرمجية أو ملفات الإعدادات من أبرز أسباب الاختراقات. فهي تتسرب عبر مستودعات التعليمات البرمجية والسجلات والنسخ الاحتياطية.

يخزّن AWS Secrets Manager الأسرار بأمان، ويتحكم في الوصول إليها باستخدام IAM، ويمكنه تدويرها تلقائيًا، بحيث لا تبقى الأسرار في التعليمات البرمجية.

يتولى Secrets Manager تخزين الأسرار وتشفيرها واستردادها وتدويرها، مثل بيانات اعتماد قواعد البيانات ومفاتيح API.

• تُشفَّر الأسرار وهي غير نشطة باستخدام KMS.
• تجلبها التطبيقات أثناء التشغيل عبر استدعاء API بدلًا من تضمينها.

يُشفَّر كل سر باستخدام مفتاح KMS، وتحميه IAM وسياسة اختيارية قائمة على الموارد.

لا تمنح الوصول إلى السر إلا للأدوار المحددة التي تحتاج إليه، ويتم تسجيل كل عملية استرداد في CloudTrail، ما يوفر مساءلة كاملة.

الميزة الأبرز هي التدوير التلقائي.

• تغيّر دالة Lambda السر وفق جدول زمني وتحدّث مخزن الأسرار.
• يدعم التدوير المضمّن RDS وقواعد بيانات أخرى.

يحد التدوير من الفترة التي يمكن أن يستغل فيها المهاجم الضرر إذا انكشفت بيانات الاعتماد.

يستخدم التدوير في قواعد البيانات عادةً مجموعتين من بيانات الاعتماد أو استراتيجية المستخدمين المتناوبين، بحيث لا ترى التطبيقات كلمة مرور غير صالحة أثناء التغيير.

تنشئ Lambda قيمة سر جديدة وتختبرها، ثم تعتمدها، وكل ذلك دون توقف عند الإعداد الصحيح.

تستدعي التطبيقات GetSecretValue لجلب السر عند الحاجة، وغالبًا ما تخزنه مؤقتًا لفترة قصيرة.

وبما أن التطبيق يمتلك دور IAM، فلا حاجة إلى بيانات اعتماد ثابتة لاسترداد السر، وبذلك تكتمل عملية إزالة المفاتيح طويلة الأجل من التعليمات البرمجية.

يخزّن Parameter Store من SSM الإعدادات والأسرار (SecureString) أيضًا، وهو مجاني للمعلمات القياسية.

• اختر Secrets Manager عند الحاجة إلى التدوير التلقائي المضمّن ومشاركة الأسرار بين الحسابات.
• اختر Parameter Store للإعدادات الأبسط والمجانية دون تدوير.

يدعم Secrets Manager استخدام سياسة موارد لمشاركة سر مع حساب آخر، كما يمكنه نسخ الأسرار إلى مناطق أخرى.

يفيد ذلك التطبيقات متعددة المناطق والتعافي من الكوارث، إذ يحافظ على توفر سر متسق في المكان الذي يعمل فيه حمل العمل.

راقب استخدام الأسرار باستخدام CloudTrail (لمعرفة من استرد سرًا أو أجرى تدويره)، واكتشف الأنماط غير المعتادة.

على سبيل المثال، يمكن لـ GuardDuty الإبلاغ عن أنماط وصول غير مألوفة، كما يمكن لقواعد Config التحقق من تمكين التدوير، مما يجعل إدارة الأسرار قابلة للقياس.

تستهلك العديد من خدمات AWS أسرار Secrets Manager بشكل أصلي.

• يمكن لـ RDS وRedshift تخزين بيانات اعتماد المدير الخاصة بهما وإدارتها هناك.
• يمكن لـ ECS وLambda وCodeBuild حقن الأسرار في وقت التشغيل.

وهذا يعني أن أعباء العمل تتلقى بيانات الاعتماد بأمان، من دون أن يضمّنها الكود أو يجلبها يدويًا على الإطلاق.

لاستخدام الأسرار بأمان:

• لا تضع الأسرار في الكود بشكل ثابت أبدًا؛ بل اجلبها من Secrets Manager.
• فعّل التدوير واستخدم مفتاح KMS مخصصًا.
• امنح أقل قدر من الصلاحيات اللازمة لكل سر، ودقّق عمليات الاسترداد.

لقد تعلمتم عن Secrets Manager.

• يخزن الأسرار ويشفّرها (باستخدام KMS) ويدوّرها تلقائيًا.
• تجلب التطبيقات الأسرار في وقت التشغيل عبر استدعاءات API يتحكم فيها IAM، من دون وضعها في الكود بشكل ثابت.
• اختاروه بدلًا من Parameter Store عندما تحتاجون إلى التدوير أو المشاركة بين الحسابات.