AWS Secrets Manager y Parameter Store

Uso de almacenes de datos en AWS

Dunieski Otano

AWS Solutions Architect

El desastre de la contraseña hardcodeada

• Dev codifica la contraseña de la base de datos en el código
• Sube el código a un repo público de GitHub
• Un atacante la encuentra en 12 minutos
• Borran la base de datos y piden rescate

Por qué nunca hardcodear secretos

• Errores comunes
  • Hardcodeado en el código fuente
  • Texto plano en archivos de config
  • Se sube al control de versiones
• Consecuencias
  • Exposición en repos públicos
  • Difícil de rotar
  • Sin trazabilidad de auditoría

Resumen de AWS Secrets Manager

• Propósito
  • Guardar y rotar credenciales automáticamente
• Qué guardar
  • Contraseñas de BD, claves API, tokens OAuth
• Funciones clave
  • Rotación automática, cifrado KMS, registro de auditoría

Rotación automática en Secrets Manager

• Proceso de rotación
  • Lambda actualiza las credenciales
• Ventana de rotación
  • Define cuándo rota (rate o cron)
• Cero tiempo de inactividad
  • La contraseña antigua y la nueva funcionan durante la rotación

Guardar secretos en formato JSON

• Secretos estructurados
  • Guarda varios valores en un único secreto
• Formato JSON
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Obtener y parsear
  • Usa la API GetSecretValue

Resumen de Parameter Store

• Parte de AWS Systems Manager
• Propósito
  • Guardar configuración y secretos estáticos
• Organización jerárquica
  • /app/prod/db/password
  • /app/dev/api-key
• Capa gratuita
  • Hasta 10.000 parámetros estándar (máx. 4 KB)
  • Parámetros avanzados (máx. 8 KB) con coste

Tipos de parámetros en Parameter Store

• String
  • Texto plano (feature flags, endpoints)
• StringList
  • Valores separados por comas (IPs)
• SecureString
  • Cifrado con KMS (contraseñas, claves API)

Guía: Secrets Manager vs Parameter Store

• Usa Secrets Manager cuando
  • Necesites rotación automática
  • Guardes credenciales de base de datos
• Usa Parameter Store cuando
  • Valores de configuración estáticos
  • Sensible al coste (capa gratuita)
• Úsalos juntos
  • Patrón común en producción

¡Vamos a practicar!

Uso de almacenes de datos en AWS