Tunnistetietojen tallentaminen Secrets Manageriin

Koodiin tai määritystiedostoihin kovakoodatut tietokantojen salasanat ja API-avaimet ovat yksi yleisimmistä tietomurtojen syistä. Ne vuotavat repositorioiden, lokien ja varmuuskopioiden kautta.

AWS Secrets Manager tallentaa salaisuudet turvallisesti, hallitsee käyttöoikeuksia IAM:n avulla ja voi kierrättää ne automaattisesti, joten salaisuuksia ei tarvitse säilyttää koodissa.

Secrets Manager tallentaa, salaa, noutaa ja kierrättää salaisuuksia, kuten tietokannan tunnistetietoja ja API-avaimia.

• Salaisuudet salataan levossa KMS:n avulla.
• Sovellukset noutavat ne suorituksen aikana API-kutsulla sen sijaan, että ne upotettaisiin sovellukseen.

Jokainen salaisuus salataan KMS-avaimella ja suojataan IAM:llä sekä valinnaisella resurssipohjaisella käytännöllä.

Myöntäkää pääsy kuhunkin salaisuuteen vain sitä tarvitseville rooleille. Jokainen nouto kirjataan CloudTrailiin, mikä tarjoaa kattavan jäljitettävyyden.

Keskeinen ominaisuus on automaattinen kierrätys.

• Lambda-funktio vaihtaa salaisuuden aikataulun mukaisesti ja päivittää tallennuksen.
• Valmis kierrätys tukee RDS:ää ja muita tietokantoja.

Kierrätys rajoittaa vahingon aikaväliä, jos tunnistetiedot joskus paljastuvat.

Tietokantojen kierrätyksessä käytetään yleensä kahta tunnistetietojoukkoa tai vuorottelevien käyttäjien strategiaa, jotta sovellukset eivät koskaan näe muutoksen aikana virheellistä salasanaa.

Lambda luo uuden salaisuuden arvon, testaa sen ja ottaa sen käyttöön ilman käyttökatkoa, kun määritykset on tehty oikein.

Sovellukset kutsuvat GetSecretValue-toimintoa noutaakseen salaisuuden tarvittaessa ja tallentavat sen usein lyhytaikaisesti välimuistiin.

Koska sovellus käyttää IAM-roolia, salaisuuden noutamiseen ei tarvita pysyviä tunnistetietoja. Näin pitkäaikaisten avainten poistaminen koodista saadaan vietyä loppuun.

SSM:n Parameter Store tallentaa myös määrityksiä ja salaisuuksia (SecureString), ja tavalliset parametrit ovat maksuttomia.

• Valitkaa Secrets Manager, kun tarvitsette sisäänrakennetun automaattisen kierrätyksen ja salaisuuksien jakamisen tilien välillä.
• Valitkaa Parameter Store yksinkertaisiin ja maksuttomiin määrityksiin, joissa kierrätystä ei tarvita.

Secrets Manager tukee resurssikäytäntöä, jolla salaisuus voidaan jakaa toiselle tilille, ja salaisuuksia voidaan replikoida muille alueille.

Tämä tukee monialueisia sovelluksia ja palautumista häiriötilanteista pitämällä yhdenmukaisen salaisuuden saatavilla siellä, missä työkuorma suoritetaan.

Valvokaa salaisuuksien käyttöä CloudTrail-palvelulla (kuka haki salaisuuden tai vaihtoi sen) ja havaitkaa poikkeamat.

Esimerkiksi GuardDuty voi ilmoittaa epätavallisista käyttökuvioista, ja Config-säännöt voivat tarkistaa, että kierto on käytössä. Näin salaisuuksien hallinnan tasoa voidaan mitata.

Monet AWS-palvelut käyttävät Secrets Managerin salaisuuksia natiivisti.

• RDS ja Redshift voivat tallentaa ja hallita pääkäyttäjän tunnistetietoja siellä.
• ECS, Lambda ja CodeBuild voivat välittää salaisuudet ajonaikaisesti.

Tämän ansiosta työkuormat saavat tunnistetiedot turvallisesti ilman, että koodiin tarvitsee koskaan upottaa niitä tai hakea niitä manuaalisesti.

Käyttäkää salaisuuksia turvallisesti seuraavasti:

• Älkää koskaan upottako salaisuuksia koodiin, vaan hakekaa ne Secrets Managerista.
• Ottakaa kierto käyttöön ja käyttäkää erillistä KMS-avainta.
• Myöntäkää kuhunkin salaisuuteen vähimmän oikeuden mukainen käyttöoikeus ja auditoikaa haut.

Opitte käyttämään Secrets Manageria.

• Se tallentaa ja salaa salaisuudet KMS:n avulla sekä kierrättää niitä automaattisesti.
• Sovellukset hakevat salaisuudet ajonaikaisesti IAM:n hallitsemilla API-kutsuilla eivätkä koskaan upota niitä koodiin.
• Valitkaa se Parameter Storen sijaan, kun tarvitsette kiertoa tai tilien välistä jakamista.