AWS Secrets Manager Esencialdesde 2018
Gestione de forma segura y rote automáticamente contraseñas de bases de datos y claves API
Qué hace
AWS Secrets Manager almacena y gestiona de forma segura información sensible (secretos) como credenciales de bases de datos, claves API y tokens OAuth. Además del almacenamiento cifrado, control de acceso y registro de auditoría, proporciona rotación automática para contraseñas de bases de datos.
Casos de uso
Almacenamiento seguro y rotación automática de contraseñas de RDS y Aurora, gestión centralizada de claves API de terceros, recuperación de secretos desde funciones Lambda y aplicaciones en contenedores, y compartir secretos en entornos multi-cuenta.
Analogía cotidiana
Es como una caja de seguridad bancaria. En lugar de guardar documentos importantes (contraseñas y claves API) en un cajón del escritorio (código fuente), los almacena en una bóveda bancaria (Secrets Manager). Cuando los necesita, presenta su identificación (autenticación IAM) para recuperarlos.
¿Qué es Secrets Manager?
AWS Secrets Manager elimina la necesidad de codificar credenciales en el código de aplicación. Los secretos se almacenan cifrados con KMS y se recuperan mediante llamadas API en tiempo de ejecución. El control de acceso granular mediante políticas IAM garantiza que solo las aplicaciones autorizadas puedan acceder a secretos específicos.
Rotación automática
Secrets Manager puede rotar automáticamente secretos de bases de datos (RDS, Aurora, Redshift, DocumentDB) sin tiempo de inactividad de la aplicación. Una función Lambda de rotación actualiza tanto el secreto como la credencial de la base de datos. También puede crear funciones de rotación personalizadas para otros tipos de secretos. Para profundizar, los libros de referencia en Amazon son útiles.
Uso de secretos desde aplicaciones
Las aplicaciones recuperan secretos llamando a la API GetSecretValue. Los SDK de AWS y las bibliotecas de caché proporcionadas por AWS simplifican la integración. Las extensiones de Lambda permiten recuperar secretos sin modificar el código de la función.
Precios
Se cobra $0.40 por secreto por mes más $0.05 por cada 10,000 llamadas API (a fecha de agosto de 2026). No hay cargos adicionales por la rotación automática.
Aspectos a tener en cuenta
- Almacene en caché los secretos obtenidos en el lado de la aplicación para reducir el número de llamadas a la API. Se recomienda usar las bibliotecas de caché que proporciona AWS
- Al configurar la rotación automática, pruebe de antemano que la aplicación pueda seguir los cambios de secretos. Hay que verificar que la lógica de reconexión del pool de conexiones funcione correctamente
