AWS Secrets Manager et Parameter Store

Utiliser des magasins de données dans AWS

Dunieski Otano

AWS Solutions Architect

Catastrophe du mot de passe codé en dur

• Le développeur inscrit en dur le mot de passe de la base dans le code
• Code poussé sur un dépôt GitHub public
• Un attaquant trouve le mot de passe en 12 minutes
• Base de données effacée, rançon exigée

Pourquoi ne jamais coder les secrets en dur

• Erreurs courantes
  • Codés en dur dans le code source
  • En clair dans les fichiers de config
  • Validés dans le contrôle de versions
• Conséquences
  • Exposés dans les dépôts publics
  • Rotation difficile
  • Piste d'audit manquante

Aperçu d'AWS Secrets Manager

• But
  • Stocker et faire pivoter les justificatifs automatiquement
• À stocker
  • Mots de passe DB, clés d'API, jetons OAuth
• Fonctions clés
  • Rotation auto, chiffrement KMS, journal d'audit

Rotation automatique avec Secrets Manager

• Processus de rotation
  • Une fonction Lambda met à jour les justificatifs
• Fenêtre de rotation
  • Définir quand la rotation a lieu (taux ou cron)
• Aucun arrêt
  • Ancien et nouveau mots de passe fonctionnent pendant la rotation

Stocker des secrets en format JSON

• Secrets structurés
  • Stocker plusieurs valeurs dans un seul secret
• Format JSON
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Récupérer et analyser
  • Utiliser l'API GetSecretValue

Aperçu de Parameter Store

• Fait partie de AWS Systems Manager
• But
  • Stocker la configuration et des secrets statiques
• Organisation hiérarchique
  • /app/prod/db/password
  • /app/dev/api-key
• Niveau gratuit
  • Jusqu'à 10 000 paramètres standard (4 KB max)
  • Paramètres avancés (8 KB max) entraînent des coûts

Types de paramètres de Parameter Store

• String
  • Texte brut de configuration (fanions de fonction, points de terminaison)
• StringList
  • Valeurs séparées par des virgules (adresses IP)
• SecureString
  • Chiffré avec KMS (mots de passe, clés d'API)

Secrets Manager ou Parameter Store : guide de décision

• Utilisez Secrets Manager quand
  • Rotation automatique requise
  • Stockage des justificatifs de base de données
• Utilisez Parameter Store quand
  • Valeurs de configuration statiques
  • Sensible aux coûts (niveau gratuit)
• Utilisez les deux ensemble
  • Schéma courant en production

Passons à la pratique !

Utiliser des magasins de données dans AWS