Lagring av legitimasjon i Secrets Manager

Databasepassord og API-nøkler som er hardkodet i kode eller konfigurasjonsfiler, er en av de vanligste årsakene til datainnbrudd. De lekker gjennom repositorier, logger og sikkerhetskopier.

AWS Secrets Manager lagrer hemmeligheter sikkert, kontrollerer tilgangen med IAM og kan rotere dem automatisk, slik at hemmeligheter aldri ligger i koden.

Secrets Manager lagrer, krypterer, henter og roterer hemmeligheter som databaselegitimasjon og API-nøkler.

• Hemmeligheter krypteres ved lagring med KMS.
• Apper henter dem ved kjøring gjennom et API-kall i stedet for å bygge dem inn.

Hver hemmelighet krypteres med en KMS-nøkkel og beskyttes av IAM og eventuelt en ressursbasert policy.

Du gir bare de spesifikke rollene som trenger det, tilgang til hemmeligheten, og alle hentinger logges i CloudTrail, noe som gir full sporbarhet.

Den viktigste funksjonen er automatisk rotering.

• En Lambda-funksjon endrer hemmeligheten etter en tidsplan og oppdaterer lagringen.
• Innebygd rotering støtter RDS og andre databaser.

Rotering begrenser skadeperioden hvis en legitimasjon noen gang blir eksponert.

For databaser bruker rotering vanligvis to sett med legitimasjon eller en strategi med vekslende brukere, slik at applikasjoner aldri ser et ugyldig passord under endringen.

Lambda oppretter en ny hemmelighetsverdi, tester den og aktiverer den deretter, alt uten driftsstans når det er riktig konfigurert.

Applikasjoner kaller GetSecretValue for å hente en hemmelighet ved behov, ofte med kortvarig mellomlagring.

Fordi appen har en IAM-rolle, trengs ingen statisk legitimasjon for å hente hemmeligheten. Dermed fullføres arbeidet med å fjerne langsiktige nøkler fra koden.

SSM Parameter Store lagrer også konfigurasjon og hemmeligheter (SecureString) og er gratis for standardparametere.

• Velg Secrets Manager for innebygd automatisk rotering og deling av hemmeligheter på tvers av kontoer.
• Velg Parameter Store for enklere og kostnadsfri konfigurasjon uten rotering.

Secrets Manager støtter en ressurspolicy for å dele en hemmelighet med en annen konto, og kan replikere hemmeligheter til andre regioner.

Dette støtter apper i flere regioner og katastrofegjenoppretting, slik at en konsistent hemmelighet er tilgjengelig der arbeidsbelastningen kjører.

Overvåk bruken av hemmeligheter med CloudTrail (hvem som hentet eller roterte en hemmelighet), og oppdag avvik.

For eksempel kan GuardDuty varsle om uvanlige tilgangsmønstre, og Config-regler kan kontrollere at rotasjon er aktivert, slik at forvaltningen av hemmeligheter kan måles.

Mange AWS-tjenester bruker Secrets Manager-hemmeligheter innebygd.

• RDS og Redshift kan lagre og administrere hovedlegitimasjonen sin der.
• ECS, Lambda og CodeBuild kan injisere hemmeligheter under kjøring.

Dette betyr at arbeidsbelastninger mottar legitimasjon på en sikker måte, uten at koden trenger å innebygge eller hente den manuelt.

Slik bruker du hemmeligheter på en sikker måte:

• Hardkod aldri hemmeligheter. Hent dem fra Secrets Manager.
• Aktiver rotasjon, og bruk en dedikert KMS-nøkkel.
• Gi tilgang med minste privilegium per hemmelighet, og revider uthentinger.

Du har lært om Secrets Manager.

• Tjenesten lagrer, krypterer (med KMS) og roterer hemmeligheter automatisk.
• Apper henter hemmeligheter under kjøring via API-kall som styres av IAM, uten å hardkode dem.
• Velg tjenesten fremfor Parameter Store når du trenger rotasjon eller deling på tvers av kontoer.