在 Secrets Manager 中存储凭证

硬编码在代码或配置文件中的数据库密码和 API 密钥，是导致数据泄露的主要原因之一。它们可能通过代码仓库、日志和备份泄露。

AWS Secrets Manager 可以安全地存储机密，使用 IAM 控制访问，并且能够自动轮换机密，使机密不必存在于代码中。

Secrets Manager 可以存储、加密、检索和轮换数据库凭证、API 密钥等机密。

• 机密会使用 KMS 进行静态加密。
• 应用程序在运行时通过 API 调用获取机密，而不是将其嵌入代码。

每个机密都会使用 KMS 密钥加密，并受到 IAM 和可选的基于资源的策略保护。

您只应向需要访问某个机密的特定角色授予权限，并且每次检索都会记录在 CloudTrail 中，从而实现完整的责任追踪。

其中最突出的功能是自动轮换。

• Lambda 函数会按计划更改机密并更新存储内容。
• 内置轮换支持 RDS 和其他数据库。

如果凭证意外泄露，轮换可以缩短其造成影响的时间窗口。

对于数据库，轮换通常使用两组凭证或交替用户策略，这样应用程序在凭证更换期间始终不会遇到无效密码。

Lambda 会创建新的机密值，对其进行测试，然后将其提升为当前值；配置正确时，整个过程无需停机。

应用程序会在需要时调用 GetSecretValue 获取机密，并且通常会进行短暂缓存。

由于应用程序持有 IAM 角色，因此无需静态凭证即可检索机密，从而完整实现将长期密钥从代码中移除。

SSM Parameter Store 也可以存储配置和机密（SecureString），并且标准参数免费。

• 如果需要内置的自动轮换和跨账户共享机密，请选择 Secrets Manager。
• 如果需要不带轮换功能的简单、免费配置，请选择 Parameter Store。

Secrets Manager 支持使用资源策略与其他账户共享机密，也可以将机密复制到其他区域。

这适用于多区域应用程序和灾难恢复，可以在工作负载运行的区域提供一致的机密。

使用 CloudTrail 监控密钥的使用情况（谁检索或轮换了密钥），并检测异常。

例如，GuardDuty 可以标记异常的访问模式，而配置规则可以检查是否启用了轮换，从而让密钥管理状况变得可衡量。

许多 AWS 服务可以原生使用密钥管理器中的密钥。

• RDS 和 Redshift 可以在那里存储和管理其主凭证。
• ECS、Lambda 和 CodeBuild 可以在运行时注入密钥。

这意味着工作负载可以安全地获得凭证，而无需在代码中嵌入或手动获取凭证。

要安全地使用密钥：

• 切勿硬编码密钥；应从密钥管理器中获取。
• 启用轮换，并使用专用的 KMS 密钥。
• 针对每个密钥授予最低权限访问权，并审计检索操作。

选择正确的服务。

您已经了解了密钥管理器。

• 它会自动存储、加密（使用 KMS）和轮换密钥。
• 应用通过 IAM 控制的 API 调用在运行时获取密钥，绝不会将密钥硬编码。
• 当您需要轮换或跨账户共享时，应选择它，而不是参数存储。