Secrets Manager y Parameter Store

Un antipatrón habitual y peligroso consiste en almacenar secretos (contraseñas de bases de datos, claves de API y tokens de OAuth) en el código fuente de la aplicación, en variables de entorno o en archivos de configuración incluidos en el control de versiones. Cuando estos repositorios quedan expuestos, ya sea porque se hacen públicos accidentalmente o porque accede a ellos un atacante, todos los secretos quedan comprometidos de inmediato. AWS proporciona dos servicios administrados para eliminar este problema: AWS Secrets Manager para credenciales que necesitan rotación automática y AWS Systems Manager Parameter Store para valores de configuración y secretos que no requieren rotación.

AWS Secrets Manager es un servicio administrado para almacenar, recuperar y rotar automáticamente secretos. Cifra todos los secretos con KMS (de forma predeterminada, mediante una clave administrada por AWS, o mediante su CMK). Los secretos pueden almacenar cualquier dato estructurado como una cadena JSON de pares clave-valor. Secrets Manager cobra 0,40 USD por secreto al mes, más 0,05 USD por cada 10 000 llamadas a la API. Su principal diferencia respecto a Parameter Store es la rotación automática integrada para RDS, Redshift, DocumentDB y secretos personalizados mediante funciones de rotación de Lambda, sin necesidad de modificar la aplicación durante la rotación.

La rotación automática es la función más potente de Secrets Manager. Para las bases de datos de RDS, Secrets Manager rota las contraseñas de forma nativa: 1) Genera una contraseña nueva. 2) Actualiza la contraseña del usuario de la base de datos en RDS. 3) Actualiza el secreto con la contraseña nueva. 4) Verifica que las credenciales nuevas funcionan. Todo esto ocurre mientras la aplicación está en ejecución: sin tiempo de inactividad ni intervención manual. Las aplicaciones siempre llaman a get-secret-value para recuperar la contraseña actual, por lo que utilizan automáticamente las credenciales rotadas.

Llamar a Secrets Manager en cada consulta a la base de datos sería costoso y lento. La práctica recomendada es almacenar el secreto localmente en caché en memoria durante un periodo breve. AWS proporciona clientes oficiales de almacenamiento en caché de Secrets Manager para Java y Python, que almacenan los secretos en caché durante un TTL configurable. Cuando la caché caduca, el cliente vuelve a obtener el secreto de Secrets Manager. Si una aplicación recibe un error de autenticación (lo que indica que la contraseña se ha rotado), actualiza inmediatamente la caché y vuelve a intentarlo. Este patrón ofrece rendimiento y disponibilidad de información actualizada sin sobrecargar la API de Secrets Manager.

AWS Systems Manager (SSM) Parameter Store es un almacén jerárquico de pares clave-valor, gratuito (para parámetros estándar), destinado a datos de configuración y secretos. Admite los tipos de parámetro String, StringList y SecureString. SecureString cifra los valores con KMS. A diferencia de Secrets Manager, Parameter Store NO admite la rotación automática; está diseñado para valores de configuración que cambian con poca frecuencia. Los parámetros estándar son gratuitos y pueden almacenar hasta 4 KB. Los parámetros avanzados admiten valores más grandes (hasta 8 KB), políticas de parámetros (caducidad y recordatorios de rotación) y tienen un coste de 0,05 USD por parámetro al mes.

Organice los valores de Parameter Store mediante una estructura jerárquica de rutas que refleje su entorno y la arquitectura de su aplicación. Esto permite crear políticas de IAM detalladas que concedan acceso a los parámetros según el prefijo de la ruta. Por ejemplo, puede conceder a una función de Lambda acceso únicamente a los parámetros bajo /prod/payment-service/; no podrá acceder a los parámetros de otros servicios. Este principio de mínimo privilegio aplicado a la configuración impide que un servicio comprometido lea los secretos de otro servicio.

Elija entre los dos servicios según sus requisitos: use Secrets Manager cuando necesite la rotación automática de secretos, almacene credenciales de bases de datos, deba compartir el secreto entre varias cuentas de AWS o la normativa exija políticas de rotación documentadas. Use Parameter Store cuando necesite valores de configuración (no secretos), quiera una solución gratuita para un almacenamiento sencillo de pares clave-valor, necesite una configuración jerárquica con control de acceso basado en rutas o deba almacenar el historial de versiones de los parámetros. Muchas arquitecturas utilizan ambos servicios: Parameter Store para la configuración y Secrets Manager para las credenciales.

Las funciones de Lambda y las tareas de ECS deben recuperar los secretos al iniciarse, no en cada invocación. Para Lambda: recupere los secretos en el código de inicialización (fuera de la función del controlador) y almacénelos en variables globales; el entorno de ejecución de Lambda persiste entre invocaciones, por lo que los secretos solo se recuperan una vez durante la vida de cada entorno. Para ECS: use el campo secrets en la definición de tarea para inyectar valores de Secrets Manager o SecureString de Parameter Store como variables de entorno; ECS los recupera y los inyecta al iniciar la tarea, sin necesidad de modificar el código de la aplicación.

Un uso práctico, aunque a menudo olvidado, de Parameter Store es almacenar ID de AMI y otras referencias de despliegue. En lugar de incluir los ID de AMI directamente en las plantillas de CloudFormation (que quedan obsoletos cuando se publican nuevas AMI), haga referencia a un valor de Parameter Store. Su canalización de CI/CD actualiza el ID de AMI en Parameter Store cada vez que se crea una nueva AMI dorada. CloudFormation lee el ID de AMI más reciente de Parameter Store en el momento del despliegue. AWS también publica los ID de las AMI más recientes de Amazon Linux en rutas públicas de Parameter Store a las que puede hacer referencia directamente.

La gobernanza de secretos exige saber quién accedió a ellos y cuándo. AWS CloudTrail registra cada llamada a la API de Secrets Manager y Parameter Store: GetSecretValue, PutParameter, GetParameter. Esto le proporciona un registro de auditoría completo para el cumplimiento normativo. Utilice alarmas de CloudWatch sobre las métricas de CloudTrail para recibir alertas cuando se acceda a los secretos de forma distinta a los patrones habituales; por ejemplo, si se accede a un secreto de producción desde una entidad principal de IAM inusual o desde una IP que no pertenece a su rango conocido, genere una alerta para investigarlo.

En las arquitecturas con varias cuentas, las aplicaciones de una cuenta a veces necesitan secretos administrados en otra (por ejemplo, una cuenta central de Seguridad administra todas las contraseñas de RDS). Las políticas de recursos de Secrets Manager permiten el acceso entre cuentas. Configure en el secreto una política basada en recursos que conceda a un rol de la cuenta consumidora permiso para llamar a GetSecretValue. El rol de la cuenta consumidora también debe tener una política de IAM que permita realizar llamadas al ARN del secreto. Las políticas de claves de KMS también deben conceder a la cuenta consumidora acceso a la CMK utilizada para cifrar el secreto.

En esta lección ha aprendido lo siguiente: Secrets Manager proporciona rotación automática para las credenciales de bases de datos y las claves de API, y es la opción preferida para los secretos que deben rotarse; Parameter Store proporciona almacenamiento jerárquico y gratuito de configuraciones, con control de acceso de IAM basado en rutas; y ECS y Lambda pueden inyectar secretos como variables de entorno sin cambios en el código de la aplicación. CloudTrail proporciona registros de auditoría para todos los accesos a secretos. A continuación, exploraremos WAF, Shield y Network Firewall.