Stocker les identifiants dans Secrets Manager

Les mots de passe de bases de données et les clés d’API codés en dur dans le code ou les fichiers de configuration sont une cause majeure de fuites. Ils peuvent être divulgués par les dépôts, les journaux et les sauvegardes.

AWS Secrets Manager stocke les secrets de manière sécurisée, contrôle l’accès avec IAM et peut les faire tourner automatiquement, afin que les secrets ne se trouvent jamais dans votre code.

Secrets Manager stocke, chiffre, récupère et fait tourner des secrets tels que des identifiants de bases de données et des clés d’API.

• Les secrets sont chiffrés au repos avec KMS.
• Les applications les récupèrent à l’exécution via un appel d’API au lieu de les intégrer directement.

Chaque secret est chiffré avec une clé KMS et protégé par IAM ainsi que, facultativement, par une politique fondée sur les ressources.

Vous accordez l’accès au secret uniquement aux rôles précis qui en ont besoin, et chaque récupération est enregistrée dans CloudTrail, ce qui assure une traçabilité complète.

La fonctionnalité phare est la rotation automatique.

• Une fonction Lambda modifie le secret selon un calendrier et met à jour le stockage.
• La rotation intégrée prend en charge RDS et d’autres bases de données.

La rotation limite la durée pendant laquelle un identifiant compromis peut causer des dommages.

Pour les bases de données, la rotation utilise généralement deux ensembles d’identifiants ou une stratégie d’utilisateurs alternés, afin que les applications ne voient jamais de mot de passe invalide pendant la modification.

La fonction Lambda crée une nouvelle valeur secrète, la vérifie, puis la met en production, le tout sans interruption lorsque la configuration est correcte.

Les applications appellent GetSecretValue pour récupérer un secret lorsqu’elles en ont besoin, en le conservant souvent brièvement en cache.

Comme l’application dispose d’un rôle IAM, aucun identifiant statique n’est nécessaire pour récupérer le secret. Cela achève la suppression des clés à long terme du code.

Le Parameter Store de SSM stocke également la configuration et les secrets (SecureString) et est gratuit pour les paramètres standard.

• Choisissez Secrets Manager pour bénéficier de la rotation automatique intégrée et du partage de secrets entre comptes.
• Choisissez Parameter Store pour une configuration plus simple et gratuite, sans rotation.

Secrets Manager prend en charge une politique de ressource permettant de partager un secret avec un autre compte, ainsi que la possibilité de répliquer des secrets dans d’autres régions.

Cela convient aux applications multirégions et à la reprise après sinistre, en conservant un secret cohérent à l’endroit où la charge de travail s’exécute.

Surveillez l'utilisation des secrets avec CloudTrail (qui a récupéré ou effectué la rotation d'un secret) et détectez les anomalies.

Par exemple, GuardDuty peut signaler des schémas d'accès inhabituels, et les règles de Config peuvent vérifier que la rotation est activée, afin de rendre l'hygiène des secrets mesurable.

De nombreux services AWS utilisent nativement les secrets de Secrets Manager.

• RDS et Redshift peuvent y stocker et gérer leurs identifiants principaux.
• ECS, Lambda et CodeBuild peuvent injecter des secrets lors de l'exécution.

Les charges de travail reçoivent ainsi leurs identifiants de manière sécurisée, sans que votre code ne les intègre ni ne les récupère manuellement.

Pour utiliser les secrets en toute sécurité :

• N'intégrez jamais les secrets en dur ; récupérez-les depuis Secrets Manager.
• Activez la rotation et utilisez une clé KMS dédiée.
• Accordez un accès conforme au principe du moindre privilège pour chaque secret et auditez les récupérations.

Choisissez le service approprié.

Vous avez découvert Secrets Manager.

• Il stocke et chiffre les secrets (avec KMS), puis effectue automatiquement leur rotation.
• Les applications récupèrent les secrets lors de l'exécution au moyen d'appels d'API contrôlés par IAM, sans jamais les intégrer en dur.
• Choisissez-le plutôt que Parameter Store lorsque vous avez besoin d'une rotation ou d'un partage entre comptes.