Secrets Manager e Parameter Store

Un anti-pattern comune e pericoloso consiste nell'archiviare segreti (password di database, chiavi API, token OAuth) nel codice sorgente dell'applicazione, nelle variabili d'ambiente o nei file di configurazione inseriti nel controllo versione. Quando questi repository vengono esposti — perché resi pubblici accidentalmente o perché vi accede un attaccante — tutti i segreti vengono immediatamente compromessi. AWS offre due servizi gestiti per eliminare questo problema: AWS Secrets Manager per le credenziali che richiedono la rotazione automatica e AWS Systems Manager Parameter Store per i valori di configurazione e i segreti che non richiedono rotazione.

AWS Secrets Manager è un servizio gestito per archiviare, recuperare e ruotare automaticamente i segreti. Crittografa tutti i segreti con KMS (utilizzando per impostazione predefinita una chiave gestita da AWS o la Sua CMK). I segreti possono contenere dati strutturati di qualsiasi tipo sotto forma di stringa JSON chiave-valore. Secrets Manager costa 0,40 $ per segreto al mese, oltre a 0,05 $ ogni 10.000 chiamate API. La differenza principale rispetto a Parameter Store è la rotazione automatica integrata per RDS, Redshift, DocumentDB e segreti personalizzati tramite funzioni Lambda di rotazione: durante la rotazione non sono necessarie modifiche all'applicazione.

La rotazione automatica è la funzionalità più potente di Secrets Manager. Per i database RDS, Secrets Manager ruota nativamente le password: 1) genera una nuova password; 2) aggiorna la password dell'utente del database in RDS; 3) aggiorna il segreto con la nuova password; 4) verifica che le nuove credenziali funzionino. Tutto questo avviene mentre l'applicazione è in esecuzione: nessun downtime e nessun intervento manuale. Le applicazioni chiamano sempre get-secret-value per recuperare la password corrente, quindi utilizzano automaticamente le credenziali ruotate.

Chiamare Secrets Manager per ogni query al database sarebbe costoso e lento. La best practice consiste nel memorizzare nella cache il segreto localmente, in memoria, per un breve periodo. AWS fornisce client ufficiali di caching di Secrets Manager per Java e Python, che memorizzano i segreti nella cache per un TTL configurabile. Quando la cache scade, il client recupera nuovamente il segreto da Secrets Manager. Se un'applicazione riceve un errore di autenticazione, a indicare che la password è stata ruotata, aggiorna immediatamente la cache e riprova. Questo pattern garantisce prestazioni e dati aggiornati senza sovraccaricare l'API di Secrets Manager.

AWS Systems Manager (SSM) Parameter Store è un archivio gerarchico di coppie chiave-valore, gratuito per i parametri standard, destinato ai dati di configurazione e ai segreti. Supporta i tipi di parametro String, StringList e SecureString. SecureString crittografa i valori con KMS. A differenza di Secrets Manager, Parameter Store NON supporta la rotazione automatica: è progettato per valori di configurazione che cambiano raramente. I parametri standard sono gratuiti e possono contenere fino a 4 KB. I parametri avanzati supportano valori più grandi, fino a 8 KB, policy dei parametri, come scadenze e promemoria per la rotazione, e hanno un costo di 0,05 USD per parametro al mese.

Organizzi i valori di Parameter Store utilizzando una struttura gerarchica dei percorsi che rispecchi l'ambiente e l'architettura dell'applicazione. Questo consente di creare policy IAM granulari che concedono l'accesso ai parametri in base al prefisso del percorso. Ad esempio, può concedere a una funzione Lambda l'accesso esclusivamente ai parametri sotto /prod/payment-service/: non potrà accedere ai parametri di altri servizi. Questo principio del privilegio minimo applicato alla configurazione impedisce a un servizio compromesso di leggere i segreti di un altro servizio.

Scelga tra i due servizi in base ai requisiti: utilizzi Secrets Manager quando: è necessaria la rotazione automatica dei segreti; sta memorizzando credenziali di database; il segreto deve essere condiviso tra più account AWS; oppure la conformità richiede policy di rotazione documentate. Utilizzi Parameter Store quando: sono necessari valori di configurazione non segreti; desidera una soluzione gratuita per una semplice memorizzazione di coppie chiave-valore; è necessaria una configurazione gerarchica con controllo degli accessi basato sui percorsi; oppure deve memorizzare la cronologia delle versioni dei parametri. Molte architetture utilizzano entrambi: Parameter Store per la configurazione e Secrets Manager per le credenziali.

Le funzioni Lambda e i task ECS dovrebbero recuperare i segreti all'avvio, non a ogni invocazione. Per Lambda: recuperi i segreti nel codice di inizializzazione, all'esterno della funzione handler, e li memorizzi nella cache in variabili globali. L'ambiente di esecuzione Lambda persiste tra un'invocazione e l'altra, quindi i segreti vengono recuperati una sola volta per tutta la durata dell'ambiente. Per ECS: utilizzi il campo secrets nella definizione del task per iniettare i valori di Secrets Manager o i valori SecureString di Parameter Store come variabili d'ambiente. ECS li recupera e li inietta all'avvio del task, senza richiedere modifiche al codice dell'applicazione.

Un uso pratico, ma spesso trascurato, di Parameter Store consiste nel memorizzare gli ID AMI e altri riferimenti al deployment. Invece di inserire gli ID AMI direttamente nei template CloudFormation, che diventano obsoleti quando vengono rilasciate nuove AMI, faccia riferimento a un valore di Parameter Store. La pipeline CI/CD aggiorna l'ID AMI in Parameter Store ogni volta che viene creata una nuova AMI golden. CloudFormation legge l'ID AMI più recente da Parameter Store al momento del deployment. AWS pubblica inoltre gli ID AMI più recenti di Amazon Linux in percorsi pubblici di Parameter Store a cui è possibile fare riferimento direttamente.

La governance dei segreti richiede di sapere chi vi ha avuto accesso e quando. AWS CloudTrail registra ogni chiamata API a Secrets Manager e Parameter Store: GetSecretValue, PutParameter, GetParameter. Questo fornisce una traccia di audit completa ai fini della conformità. Utilizzi CloudWatch Alarms sulle metriche di CloudTrail per ricevere avvisi quando i segreti vengono consultati in circostanze non usuali: ad esempio, se un segreto di produzione viene consultato da un principal IAM insolito o da un IP non incluso nell'intervallo noto, generi un avviso per avviare un'indagine.

Nelle architetture con più account, le applicazioni di un account devono talvolta utilizzare segreti gestiti in un altro account, ad esempio quando un account Security centrale gestisce tutte le password RDS. Le policy delle risorse di Secrets Manager consentono l'accesso tra account. Configuri una policy basata sulle risorse del segreto che conceda a un ruolo nell'account utilizzatore l'autorizzazione a chiamare GetSecretValue. Il ruolo dell'account utilizzatore deve disporre anche di una policy IAM che consenta le chiamate all'ARN del segreto. Le policy della chiave KMS devono inoltre concedere all'account utilizzatore l'accesso alla CMK utilizzata per crittografare il segreto.

Verifichi la sua comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha imparato che: Secrets Manager fornisce la rotazione automatica delle credenziali dei database e delle chiavi API ed è la scelta preferita per i segreti che devono essere ruotati; Parameter Store offre una memorizzazione gerarchica e gratuita della configurazione, con controllo degli accessi IAM basato sui percorsi; inoltre, ECS e Lambda possono iniettare i segreti come variabili d'ambiente senza modifiche al codice dell'applicazione. CloudTrail fornisce tracce di audit per tutti gli accessi ai segreti. Nella prossima lezione esploreremo WAF, Shield e Network Firewall.