AWS Secrets Manager Esencial2018年〜
Gestione de forma segura y rote automáticamente contraseñas de bases de datos y claves API
Qué hace
AWS Secrets Manager almacena y gestiona de forma segura información sensible (secretos) como credenciales de bases de datos, claves API y tokens OAuth. Además del almacenamiento cifrado, control de acceso y registro de auditoría, proporciona rotación automática para contraseñas de bases de datos.
Casos de uso
Almacenamiento seguro y rotación automática de contraseñas de RDS y Aurora, gestión centralizada de claves API de terceros, recuperación de secretos desde funciones Lambda y aplicaciones en contenedores, y compartir secretos en entornos multi-cuenta.
Analogía cotidiana
Es como una caja de seguridad bancaria. En lugar de guardar documentos importantes (contraseñas y claves API) en un cajón del escritorio (código fuente), los almacena en una bóveda bancaria (Secrets Manager). Cuando los necesita, presenta su identificación (autenticación IAM) para recuperarlos.
¿Qué es Secrets Manager?
AWS Secrets Manager elimina la necesidad de codificar credenciales en el código de aplicación. Los secretos se almacenan cifrados con KMS y se recuperan mediante llamadas API en tiempo de ejecución. El control de acceso granular mediante políticas IAM garantiza que solo las aplicaciones autorizadas puedan acceder a secretos específicos.
Rotación automática
Secrets Manager puede rotar automáticamente secretos de bases de datos (RDS, Aurora, Redshift, DocumentDB) sin tiempo de inactividad de la aplicación. Una función Lambda de rotación actualiza tanto el secreto como la credencial de la base de datos. También puede crear funciones de rotación personalizadas para otros tipos de secretos. Para profundizar, los libros de referencia en Amazon son útiles.
Uso de secretos desde aplicaciones
Las aplicaciones recuperan secretos llamando a la API GetSecretValue. Los SDK de AWS y las bibliotecas de caché proporcionadas por AWS simplifican la integración. Las extensiones de Lambda permiten recuperar secretos sin modificar el código de la función.
Precios
Se cobra $0.40 por secreto por mes más $0.05 por cada 10,000 llamadas API. No hay cargos adicionales por la rotación automática.
Aspectos a tener en cuenta
- Cache secret retrieval results in your application to reduce API call frequency. Using AWS-provided caching libraries is recommended
- Before enabling automatic rotation, test that your application can handle secret changes. Verify that connection pool reconnection logic works correctly
