Armazenando Credenciais no Secrets Manager

Senhas de banco de dados e chaves de API codificadas diretamente no código ou em arquivos de configuração são uma das principais causas de violações. Elas vazam por meio de repositórios, registros e backups.

O AWS Secrets Manager armazena segredos com segurança, controla o acesso usando IAM e pode alterná-los automaticamente, para que os segredos nunca fiquem no código.

O Secrets Manager armazena, criptografa, recupera e alterna segredos, como credenciais de banco de dados e chaves de API.

• Os segredos são criptografados em repouso com KMS.
• Os aplicativos os obtêm em tempo de execução por meio de uma chamada de API, em vez de incorporá-los.

Cada segredo é criptografado com uma chave KMS e protegido pelo IAM e por uma política baseada em recurso opcional.

Você concede acesso ao segredo apenas às funções específicas que precisam dele, e cada recuperação é registrada no CloudTrail, proporcionando responsabilização completa.

O recurso de maior destaque é a alternância automática.

• Uma função do Lambda altera o segredo conforme uma programação e atualiza o armazenamento.
• A alternância integrada oferece suporte ao RDS e a outros bancos de dados.

A alternância limita a janela de exposição caso uma credencial seja revelada.

Para bancos de dados, a alternância normalmente usa dois conjuntos de credenciais ou uma estratégia de usuários alternados, para que os aplicativos nunca vejam uma senha inválida durante a alteração.

A função do Lambda cria um novo valor de segredo, testa-o e depois o promove, tudo sem indisponibilidade quando configurado corretamente.

Os aplicativos chamam GetSecretValue para obter um segredo quando necessário, geralmente mantendo-o em cache por pouco tempo.

Como o aplicativo possui uma função do IAM, não são necessárias credenciais estáticas para recuperar o segredo, completando a remoção de chaves de longo prazo do código.

O Parameter Store do SSM também armazena configurações e segredos (SecureString) e é gratuito para parâmetros padrão.

• Escolha o Secrets Manager para obter alternância automática integrada e compartilhamento de segredos entre contas.
• Escolha o Parameter Store para configurações mais simples e gratuitas, sem alternância.

O Secrets Manager oferece suporte a uma política de recurso para compartilhar um segredo com outra conta e pode replicar segredos para outras regiões.

Isso atende a aplicativos em várias regiões e à recuperação de desastres, mantendo um segredo consistente disponível onde a carga de trabalho é executada.

Monitore o uso de segredos com o CloudTrail (quem recuperou ou alternou um segredo) e detecte anomalias.

Por exemplo, o GuardDuty pode sinalizar padrões de acesso incomuns, e as regras do Config podem verificar se a alternância está habilitada, mantendo a higiene dos segredos mensurável.

Muitos serviços da AWS consomem segredos do Secrets Manager nativamente.

• O RDS e o Redshift podem armazenar e gerenciar suas credenciais mestras nesse serviço.
• O ECS, o Lambda e o CodeBuild podem injetar segredos durante a execução.

Isso significa que as cargas de trabalho recebem credenciais com segurança, sem que seu código precise incorporá-las ou buscá-las manualmente.

Para usar segredos com segurança:

• Nunca incorpore segredos diretamente no código; busque-os no Secrets Manager.
• Habilite a alternância e use uma chave KMS dedicada.
• Conceda acesso com privilégio mínimo por segredo e audite as recuperações.

Escolha o serviço adequado.

Você aprendeu sobre o Secrets Manager.

• Ele armazena, criptografa (com KMS) e alterna segredos automaticamente.
• Os aplicativos buscam segredos durante a execução por meio de chamadas de API controladas pelo IAM, sem jamais incorporá-los diretamente no código.
• Escolha-o em vez do Parameter Store quando precisar de alternância ou compartilhamento entre contas.