Estrategia multi-región de AWS Secrets Manager - Replicación y uso compartido entre cuentas
Aprenda a lograr recuperación ante desastres con replicación multi-región y construir gestión centralizada desde una cuenta de seguridad usando acceso entre cuentas.
Secretos multi-región
La función de secretos multi-región de Secrets Manager sincroniza automáticamente un secreto de la región primaria con hasta 5 regiones de réplica. Las réplicas son de solo lectura y se actualizan automáticamente cuando el secreto primario cambia. En caso de fallo regional, una réplica puede promoverse a primaria, proporcionando continuidad del servicio. Las aplicaciones en cada región leen el secreto localmente sin latencia entre regiones, mejorando tanto la disponibilidad como el rendimiento.
Acceso entre cuentas
En entornos multi-cuenta, el enfoque recomendado es gestionar los secretos en una cuenta central de seguridad y otorgar acceso entre cuentas a las cuentas de carga de trabajo. Esto se logra mediante políticas de recursos en el secreto que permiten a roles IAM de otras cuentas llamar a GetSecretValue. La clave KMS utilizada para cifrar el secreto también debe tener una política de clave que permita el descifrado entre cuentas. Este patrón centraliza la auditoría y rotación de secretos mientras permite el acceso distribuido. Para profundizar en la gestión de secretos, los libros relacionados (Amazon) son una buena referencia.
Versionado y disponibilidad durante la rotación
Secrets Manager gestiona las versiones de secretos usando etiquetas. AWSCURRENT apunta a la versión actualmente activa, y AWSPREVIOUS apunta a la versión anterior. Durante la rotación, se crea una nueva versión con la etiqueta AWSPENDING, se verifica que funcione, y luego se mueve la etiqueta AWSCURRENT a la nueva versión. Este proceso asegura que las aplicaciones que leen AWSCURRENT siempre obtienen una credencial válida, incluso durante la rotación. Si la rotación falla, AWSCURRENT permanece sin cambios.
Precios de Secrets Manager
Los precios de Secrets Manager consisten en aproximadamente 0,40 USD por secreto al mes y aproximadamente 0,05 USD por cada 10.000 llamadas API. Los secretos replicados en regiones adicionales se cobran como secretos separados en cada región. No hay cargo adicional por la rotación automática, pero la función Lambda de rotación genera sus propios cargos de Lambda (típicamente insignificantes). Para organizaciones con cientos de secretos, el costo mensual es predecible y modesto.
Resumen
La replicación multi-región y el uso compartido entre cuentas de Secrets Manager permiten la gestión de secretos a escala empresarial. La replicación proporciona recuperación ante desastres con failover regional, el acceso entre cuentas centraliza la gobernanza, y el versionado asegura la disponibilidad durante la rotación. Estos patrones combinados forman una base sólida para la gestión de credenciales en entornos multi-cuenta y multi-región.