Przechowywanie danych uwierzytelniających w Secrets Manager

Hasła do baz danych i klucze API zaszyte w kodzie lub plikach konfiguracyjnych są jedną z głównych przyczyn wycieków danych. Mogą wyciec przez repozytoria, logi i kopie zapasowe.

AWS Secrets Manager bezpiecznie przechowuje sekrety, kontroluje dostęp za pomocą IAM i może automatycznie je rotować, dzięki czemu sekrety nigdy nie znajdują się w kodzie.

Secrets Manager przechowuje, szyfruje, pobiera i rotuje sekrety, takie jak dane uwierzytelniające do baz danych i klucze API.

• Sekrety są szyfrowane w spoczynku za pomocą KMS.
• Aplikacje pobierają je w czasie działania za pomocą wywołania API, zamiast umieszczać je bezpośrednio w kodzie.

Każdy sekret jest szyfrowany za pomocą klucza KMS i chroniony przez IAM oraz opcjonalną politykę opartą na zasobach.

Dostęp do sekretu przyznaje się wyłącznie konkretnym rolom, które go potrzebują, a każde pobranie jest rejestrowane w CloudTrail, co zapewnia pełną rozliczalność.

Najważniejszą funkcją jest automatyczna rotacja.

• Funkcja Lambda zgodnie z harmonogramem zmienia sekret i aktualizuje magazyn.
• Wbudowana rotacja obsługuje RDS i inne bazy danych.

Rotacja ogranicza czas, przez który napastnik może wykorzystać dane uwierzytelniające, jeśli kiedykolwiek dojdzie do ich ujawnienia.

W przypadku baz danych rotacja zazwyczaj korzysta z dwóch zestawów danych uwierzytelniających lub strategii naprzemiennych użytkowników, dzięki czemu aplikacje nigdy nie otrzymują nieprawidłowego hasła podczas zmiany.

Lambda tworzy nową wartość sekretu, testuje ją, a następnie aktywuje — wszystko bez przestoju, jeśli konfiguracja jest prawidłowa.

Aplikacje wywołują GetSecretValue, aby pobrać sekret, gdy jest potrzebny, często przechowując go krótko w pamięci podręcznej.

Ponieważ aplikacja korzysta z roli IAM, do pobrania sekretu nie są potrzebne statyczne dane uwierzytelniające. Dopełnia to proces usuwania długoterminowych kluczy z kodu.

SSM Parameter Store również przechowuje konfigurację i sekrety (SecureString), a w przypadku standardowych parametrów jest bezpłatny.

• Proszę wybrać Secrets Manager, gdy potrzebne są wbudowana automatyczna rotacja i udostępnianie sekretów między kontami.
• Proszę wybrać Parameter Store w przypadku prostszej, bezpłatnej konfiguracji bez rotacji.

Secrets Manager obsługuje politykę zasobów, która umożliwia udostępnienie sekretu innemu kontu, a także może replikować sekrety do innych regionów.

Rozwiązanie to sprawdza się w aplikacjach wieloregionowych i podczas odtwarzania po awarii, zapewniając dostęp do spójnego sekretu w miejscu działania obciążenia.

Monitoruj użycie sekretów za pomocą CloudTrail (kto pobrał lub poddał sekret rotacji) i wykrywaj anomalie.

Na przykład GuardDuty może sygnalizować nietypowe wzorce dostępu, a reguły Config mogą sprawdzać, czy rotacja jest włączona, dzięki czemu można mierzyć poziom ochrony sekretów.

Wiele usług AWS natywnie korzysta z sekretów usługi Secrets Manager.

• RDS i Redshift mogą przechowywać tam dane uwierzytelniające administratora i zarządzać nimi.
• ECS, Lambda i CodeBuild mogą wstrzykiwać sekrety w czasie działania.

Oznacza to, że obciążenia otrzymują dane uwierzytelniające w bezpieczny sposób, bez konieczności osadzania ich w kodzie lub ręcznego pobierania.

Aby bezpiecznie korzystać z sekretów:

• Nigdy nie osadzaj sekretów na stałe w kodzie; pobieraj je z Secrets Manager.
• Włącz rotację i używaj dedykowanego klucza KMS.
• Przyznawaj dostęp zgodnie z zasadą najmniejszych uprawnień dla każdego sekretu i audytuj operacje pobierania.

Wybierz właściwą usługę.

Zapoznał się Pan z usługą Secrets Manager.

• Przechowuje ona sekrety, szyfruje je (za pomocą KMS) i automatycznie wykonuje ich rotację.
• Aplikacje pobierają sekrety w czasie działania za pośrednictwem kontrolowanych przez IAM wywołań API, bez osadzania ich na stałe w kodzie.
• Wybierz tę usługę zamiast Parameter Store, gdy potrzebujesz rotacji lub udostępniania między kontami.