Archiviazione delle credenziali in Secrets Manager

Le password dei database e le chiavi API inserite direttamente nel codice o nei file di configurazione sono tra le principali cause di violazioni. Possono fuoriuscire dai repository, dai log e dai backup.

AWS Secrets Manager archivia i segreti in modo sicuro, controlla l'accesso con IAM e può ruotarli automaticamente, così i segreti non risiedono mai nel codice.

Secrets Manager archivia, cifra, recupera e ruota segreti come credenziali di database e chiavi API.

• I segreti vengono cifrati a riposo con KMS.
• Le applicazioni li recuperano in fase di esecuzione tramite una chiamata API, invece di inserirli direttamente nel codice.

Ogni segreto viene cifrato con una chiave KMS e protetto da IAM e da un'eventuale policy basata sulle risorse.

Si concede l'accesso al segreto solo ai ruoli specifici che ne hanno bisogno e ogni recupero viene registrato in CloudTrail, garantendo la piena responsabilità.

La funzionalità più importante è la rotazione automatica.

• Una funzione Lambda modifica il segreto secondo una pianificazione e aggiorna l'archivio.
• La rotazione integrata supporta RDS e altri database.

La rotazione limita la finestra di esposizione nel caso in cui una credenziale venga divulgata.

Per i database, la rotazione usa in genere due set di credenziali o una strategia con utenti alternati, in modo che le applicazioni non vedano mai una password non valida durante la modifica.

Lambda crea un nuovo valore segreto, lo verifica e quindi lo attiva, il tutto senza interruzioni se configurato correttamente.

Le applicazioni chiamano GetSecretValue per recuperare un segreto quando necessario, spesso memorizzandolo temporaneamente nella cache.

Poiché l'applicazione dispone di un ruolo IAM, non sono necessarie credenziali statiche per recuperare il segreto, completando il processo di rimozione delle chiavi a lungo termine dal codice.

SSM Parameter Store archivia anch'esso configurazioni e segreti (SecureString) ed è gratuito per i parametri standard.

• Scelga Secrets Manager per la rotazione automatica integrata e la condivisione dei segreti tra account.
• Scelga Parameter Store per una configurazione più semplice e gratuita, senza rotazione.

Secrets Manager supporta una resource policy per condividere un segreto con un altro account e può replicare i segreti in altre regioni.

Questo è utile per le applicazioni multi-regione e il disaster recovery, mantenendo disponibile un segreto coerente nel luogo in cui viene eseguito il carico di lavoro.

Monitori l'utilizzo dei segreti con CloudTrail (chi ha recuperato o ruotato un segreto) e rilevi le anomalie.

Ad esempio, GuardDuty può segnalare modelli di accesso insoliti, mentre le regole di Config possono verificare che la rotazione sia abilitata, rendendo misurabile la gestione dei segreti.

Molti servizi AWS utilizzano nativamente i segreti di Secrets Manager.

• RDS e Redshift possono archiviare e gestire lì le proprie credenziali master.
• ECS, Lambda e CodeBuild possono iniettare i segreti in fase di esecuzione.

In questo modo, i carichi di lavoro ricevono le credenziali in modo sicuro, senza che il codice debba mai incorporarle o recuperarle manualmente.

Per utilizzare i segreti in modo sicuro:

• Non codifichi mai direttamente i segreti; li recuperi da Secrets Manager.
• Abiliti la rotazione e utilizzi una chiave KMS dedicata.
• Conceda l'accesso con il principio del privilegio minimo per ogni segreto e sottoponga a audit i recuperi.

Ha imparato a conoscere Secrets Manager.

• Archivia, cifra (con KMS) e ruota automaticamente i segreti.
• Le applicazioni recuperano i segreti in fase di esecuzione tramite chiamate API controllate da IAM, senza mai inserirli direttamente nel codice.
• Lo scelga al posto di Parameter Store quando sono necessarie la rotazione o la condivisione tra account.