Inloggegevens opslaan in Secrets Manager

Databasewachtwoorden en API-sleutels die hardgecodeerd zijn in code of configuratiebestanden, zijn een belangrijke oorzaak van datalekken. Ze lekken via opslagplaatsen, logboeken en back-ups.

AWS Secrets Manager slaat geheimen veilig op, beheert de toegang met IAM en kan ze automatisch roteren, zodat geheimen nooit in je code staan.

Secrets Manager slaat geheimen op, versleutelt, haalt ze op en roteert ze, zoals databasegegevens en API-sleutels.

• Geheimen worden in rust versleuteld met KMS.
• Apps halen ze tijdens runtime op via een API-aanroep in plaats van ze in de code op te nemen.

Elk geheim wordt versleuteld met een KMS-sleutel en beveiligd door IAM en optioneel resourcegebaseerd beleid.

Je geeft alleen de specifieke rollen die toegang nodig hebben toegang tot een geheim. Elke keer dat een geheim wordt opgehaald, wordt dit vastgelegd in CloudTrail, wat volledige verantwoordingsplicht biedt.

De belangrijkste functie is automatische rotatie.

• Een Lambda-functie wijzigt het geheim volgens een schema en werkt de opslag bij.
• Ingebouwde rotatie ondersteunt RDS en andere databases.

Rotatie beperkt de periode waarin schade kan ontstaan als een referentie ooit uitlekt.

Bij databases worden meestal twee sets referenties of een strategie met afwisselende gebruikers gebruikt, zodat applicaties tijdens de wijziging nooit een ongeldig wachtwoord te zien krijgen.

De Lambda maakt een nieuwe geheime waarde aan, test deze en activeert hem vervolgens. Bij een juiste configuratie gebeurt dat allemaal zonder uitval.

Applicaties roepen GetSecretValue aan om een geheim op te halen wanneer dat nodig is; vaak wordt het kort in de cache opgeslagen.

Omdat de app een IAM-rol gebruikt, zijn er geen statische referenties nodig om het geheim op te halen. Zo wordt de keten voltooid waarmee langlevende sleutels uit de code worden verwijderd.

SSM Parameter Store slaat ook configuratie en geheimen (SecureString) op en is gratis voor standaardparameters.

• Kies Secrets Manager voor ingebouwde automatische rotatie en het delen van geheimen tussen accounts.
• Kies Parameter Store voor eenvoudigere, kosteloze configuratie zonder rotatie.

Secrets Manager ondersteunt een resourcebeleid om een geheim met een ander account te delen en kan geheimen naar andere regio's repliceren.

Dit is geschikt voor applicaties in meerdere regio's en voor noodherstel, zodat er een consistent geheim beschikbaar blijft waar de workload wordt uitgevoerd.

Bewaak het gebruik van geheimen met CloudTrail (wie een geheim heeft opgehaald of geroteerd) en detecteer afwijkingen.

GuardDuty kan bijvoorbeeld ongebruikelijke toegangspatronen signaleren en Config-regels kunnen controleren of rotatie is ingeschakeld, zodat de hygiëne van geheimen meetbaar blijft.

Veel AWS-services gebruiken geheimen van Secrets Manager native.

• RDS en Redshift kunnen hun hoofdreferenties daar opslaan en beheren.
• ECS, Lambda en CodeBuild kunnen tijdens runtime geheimen injecteren.

Zo ontvangen workloads referenties veilig, zonder dat je code ze ooit zelf hoeft in te bouwen of op te halen.

Gebruik geheimen veilig:

• Bouw geheimen nooit hardcoded in; haal ze op uit Secrets Manager.
• Schakel rotatie in en gebruik een speciale KMS-sleutel.
• Verleen per geheim toegang volgens het principe van minimale bevoegdheden en controleer het ophalen van geheimen.

Je hebt geleerd over Secrets Manager.

• De service slaat geheimen op, versleutelt ze (met KMS) en roteert ze automatisch.
• Applicaties halen geheimen tijdens runtime op via door IAM beheerde API-aanroepen, zonder ze ooit hardcoded in te bouwen.
• Kies deze service boven Parameter Store wanneer je rotatie of delen tussen accounts nodig hebt.