Lagra autentiseringsuppgifter i Secrets Manager

Databaslösenord och API-nycklar som hårdkodats i kod eller konfigurationsfiler är en av de främsta orsakerna till dataintrång. De läcker via kodarkiv, loggar och säkerhetskopior.

AWS Secrets Manager lagrar hemligheter säkert, styr åtkomsten med IAM och kan rotera dem automatiskt, så att hemligheter aldrig behöver finnas i koden.

Secrets Manager lagrar, krypterar, hämtar och roterar hemligheter som databasuppgifter och API-nycklar.

• Hemligheter krypteras i vila med KMS.
• Program hämtar dem vid körning via ett API-anrop i stället för att bädda in dem.

Varje hemlighet krypteras med en KMS-nyckel och skyddas av IAM samt en valfri resursbaserad policy.

Du ger endast de specifika roller som behöver åtkomst till en hemlighet denna åtkomst, och varje hämtning loggas i CloudTrail, vilket ger full spårbarhet.

Den främsta funktionen är automatisk rotation.

• En Lambda-funktion ändrar hemligheten enligt ett schema och uppdaterar lagringen.
• Inbyggd rotation stöder RDS och andra databaser.

Rotation begränsar skadefönstret om en autentiseringsuppgift någon gång exponeras.

För databaser använder rotation vanligtvis två uppsättningar autentiseringsuppgifter eller en strategi med växlande användare, så att program aldrig möter ett ogiltigt lösenord under ändringen.

Lambda skapar ett nytt hemligt värde, testar det och aktiverar det sedan, allt utan driftstopp när det är korrekt konfigurerat.

Program anropar GetSecretValue för att hämta en hemlighet vid behov och cachar den ofta tillfälligt.

Eftersom programmet har en IAM-roll behövs inga statiska autentiseringsuppgifter för att hämta hemligheten. Därmed slutförs kedjan för att ta bort långlivade nycklar från koden.

SSM Parameter Store lagrar också konfiguration och hemligheter (SecureString) och är kostnadsfritt för standardparametrar.

• Välj Secrets Manager för inbyggd automatisk rotation och delning av hemligheter mellan konton.
• Välj Parameter Store för enklare och kostnadsfri konfiguration utan rotation.

Secrets Manager stöder en resurspolicy för att dela en hemlighet med ett annat konto och kan replikera hemligheter till andra regioner.

Detta passar appar i flera regioner och katastrofåterställning, eftersom en konsekvent hemlighet finns tillgänglig där arbetsbelastningen körs.

Övervaka användningen av hemligheter med CloudTrail (vem som hämtade eller roterade en hemlighet) och upptäck avvikelser.

Till exempel kan GuardDuty flagga ovanliga åtkomstmönster, och Config-regler kan kontrollera att rotation är aktiverad, så att hanteringen av hemligheter kan mätas.

Många AWS-tjänster använder hemligheter från Secrets Manager inbyggt.

• RDS och Redshift kan lagra och hantera sina huvudautentiseringsuppgifter där.
• ECS, Lambda och CodeBuild kan injicera hemligheter vid körning.

Det innebär att arbetslaster får autentiseringsuppgifter på ett säkert sätt, utan att koden någonsin behöver bädda in eller hämta dem manuellt.

Så här använder ni hemligheter på ett säkert sätt:

• Bädda aldrig in hemligheter i koden; hämta dem från Secrets Manager.
• Aktivera rotation och använd en dedikerad KMS-nyckel.
• Ge åtkomst enligt minsta privilegium för varje hemlighet och granska hämtningar.

Ni har lärt er om Secrets Manager.

• Tjänsten lagrar, krypterar (med KMS) och roterar hemligheter automatiskt.
• Appar hämtar hemligheter vid körning via API-anrop som styrs av IAM, i stället för att bädda in dem i koden.
• Välj tjänsten framför Parameter Store när ni behöver rotation eller delning mellan konton.