Menyimpan Kredensial di Secrets Manager

Kata sandi basis data dan kunci API yang ditulis langsung dalam kode atau berkas konfigurasi merupakan salah satu penyebab utama kebocoran. Rahasia tersebut dapat bocor melalui repositori, log, dan cadangan.

AWS Secrets Manager menyimpan rahasia dengan aman, mengendalikan akses menggunakan IAM, dan dapat merotasinya secara otomatis, sehingga rahasia tidak pernah tersimpan dalam kode Anda.

Secrets Manager menyimpan, mengenkripsi, mengambil, dan merotasi rahasia seperti kredensial basis data dan kunci API.

• Rahasia dienkripsi saat tersimpan menggunakan KMS.
• Aplikasi mengambilnya saat berjalan melalui panggilan API, bukan menyisipkannya ke dalam aplikasi.

Setiap rahasia dienkripsi dengan kunci KMS dan dilindungi oleh IAM serta kebijakan berbasis sumber daya opsional.

Anda hanya memberikan akses rahasia kepada peran tertentu yang membutuhkannya, dan setiap pengambilan dicatat dalam CloudTrail, sehingga akuntabilitas terjaga sepenuhnya.

Fitur yang paling menonjol adalah rotasi otomatis.

• Fungsi Lambda mengubah rahasia sesuai jadwal dan memperbarui penyimpanannya.
• Rotasi bawaan mendukung RDS dan basis data lainnya.

Rotasi membatasi jangka waktu dampak jika kredensial sampai terekspos.

Untuk basis data, rotasi biasanya menggunakan dua set kredensial atau strategi pengguna bergantian agar aplikasi tidak pernah melihat kata sandi yang tidak valid selama perubahan berlangsung.

Lambda membuat nilai rahasia baru, mengujinya, lalu mengaktifkannya, semuanya tanpa waktu henti jika dikonfigurasi dengan benar.

Aplikasi memanggil GetSecretValue untuk mengambil rahasia saat diperlukan, sering kali dengan menyimpannya sementara dalam cache.

Karena aplikasi memiliki peran IAM, kredensial statis tidak diperlukan untuk mengambil rahasia, sehingga rangkaian penghapusan kunci jangka panjang dari kode menjadi lengkap.

SSM Parameter Store juga menyimpan konfigurasi dan rahasia (SecureString), serta gratis untuk parameter standar.

• Pilih Secrets Manager untuk rotasi otomatis bawaan dan berbagi rahasia antar-akun.
• Pilih Parameter Store untuk konfigurasi yang lebih sederhana dan gratis tanpa rotasi.

Secrets Manager mendukung kebijakan sumber daya untuk membagikan rahasia dengan akun lain dan dapat mereplikasi rahasia ke region lain.

Fitur ini mendukung aplikasi multi-region dan pemulihan bencana, dengan menjaga rahasia yang konsisten tetap tersedia di tempat beban kerja berjalan.

Pantau penggunaan rahasia dengan CloudTrail (siapa yang mengambil atau merotasi rahasia) dan deteksi anomali.

Contohnya, GuardDuty dapat menandai pola akses yang tidak biasa, dan aturan Konfigurasi dapat memeriksa apakah rotasi diaktifkan, sehingga kebersihan rahasia dapat diukur.

Banyak layanan AWS menggunakan rahasia Pengelola Rahasia secara native.

• RDS dan Redshift dapat menyimpan serta mengelola kredensial utama di sana.
• ECS, Lambda, dan CodeBuild dapat menyuntikkan rahasia saat runtime.

Artinya, beban kerja menerima kredensial dengan aman tanpa kode Anda menyematkan atau mengambilnya secara manual.

Untuk menggunakan rahasia dengan aman:

• Jangan pernah menyematkan rahasia secara permanen; ambil dari Pengelola Rahasia.
• Aktifkan rotasi dan gunakan kunci KMS khusus.
• Berikan akses dengan hak istimewa minimum per rahasia dan audit pengambilannya.

Pilih layanan yang tepat.

Anda telah mempelajari Pengelola Rahasia.

• Layanan ini menyimpan, mengenkripsi (dengan KMS), dan merotasi rahasia secara otomatis.
• Aplikasi mengambil rahasia saat runtime melalui panggilan API yang dikendalikan IAM, tanpa pernah menyematkannya secara permanen.
• Pilih layanan ini daripada Penyimpanan Parameter jika Anda memerlukan rotasi atau berbagi lintas akun.