AWS Secrets Manager ve Parameter Store

AWS'de Veri Depolarını Kullanma

Dunieski Otano

AWS Solutions Architect

Sabitlenmiş parola felaketi

• Geliştirici veritabanı parolasını koda sabitler
• Kod herkese açık GitHub deposuna itilir
• Saldırgan 12 dakikada parolayı bulur
• Veritabanı silinir, fidye istenir

Neden sırlar asla koda sabitlenmez

• Yaygın hatalar
  • Kaynak koda sabitleme
  • Yapılandırma dosyalarında düz metin
  • Sürüm kontrolüne işleme
• Sonuçlar
  • Açık depolarda ifşa
  • Döndürmesi zor
  • Denetim izi eksik

AWS Secrets Manager genel bakış

• Amaç
  • Kimlik bilgilerini otomatik saklama ve döndürme
• Ne saklanır
  • Veritabanı parolaları, API anahtarları, OAuth belirteçleri
• Önemli özellikler
  • Otomatik döndürme, KMS şifreleme, denetim kaydı

Secrets Manager otomatik döndürme

• Döndürme süreci
  • Lambda işlevi kimlik bilgilerini günceller
• Döndürme penceresi
  • Döndürmenin zamanı (rate veya cron) ayarlanır
• Sıfır kesinti
  • Döndürme sırasında eski ve yeni parolalar çalışır

Sırları JSON biçiminde saklama

• Yapılandırılmış sırlar
  • Bir sırda birden çok değer saklayın
• JSON biçimi
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Al ve ayrıştır
  • GetSecretValue API'sini kullanın

Parameter Store genel bakış

• Parçası AWS Systems Manager
• Amaç
  • Yapılandırma ve statik sırları saklama
• Hiyerarşik düzen
  • /app/prod/db/password
  • /app/dev/api-key
• Ücretsiz katman
  • 10.000'e kadar standart parametre (maks. 4 KB)
  • Gelişmiş parametreler (maks. 8 KB) ücretlidir

Parameter Store parametre türleri

• String
  • Düz metin yapılandırma (özellik bayrakları, uç noktalar)
• StringList
  • Virgülle ayrılmış değerler (IP adresleri)
• SecureString
  • KMS ile şifreli (parolalar, API anahtarları)

Secrets Manager vs Parameter Store karar rehberi

• Şunlar için Secrets Manager
  • Otomatik döndürme gerekir
  • Veritabanı kimlik bilgileri saklanır
• Şunlar için Parameter Store
  • Statik yapılandırma değerleri
  • Maliyet hassas (ücretsiz katman)
• Her ikisini birlikte kullanın
  • Üretimde yaygın bir desen

Haydi pratik yapalım!

AWS'de Veri Depolarını Kullanma