AWS Secrets Manager en Parameter Store

Dataopslagdiensten gebruiken in AWS

Dunieski Otano

AWS Solutions Architect

De ramp van hardcoded wachtwoorden

• Developer hardcodet databasewachtwoord in code
• Code gepusht naar openbare GitHub-repo
• Aanvaller vindt wachtwoord in 12 minuten
• Database gewist, losgeld geëist

Waarom nooit secrets hardcoden

• Veelgemaakte fouten
  • Hardcoded in broncode
  • Plattetekst in configbestanden
  • Gecommit naar versiebeheer
• Gevolgen
  • Blootgesteld in openbare repositories
  • Moeilijk te roteren
  • Geen audittrail

AWS Secrets Manager-overzicht

• Doel
  • Inloggegevens automatisch opslaan en roteren
• Wat op te slaan
  • Databasewachtwoorden, API-sleutels, OAuth-tokens
• Belangrijkste features
  • Automatische rotatie, KMS-versleuteling, auditlogging

Automatische rotatie in Secrets Manager

• Rotatieproces
  • Lambda-functie werkt inloggegevens bij
• Rotatievenster
  • Stel in wanneer rotatie plaatsvindt (rate of cron)
• Zero downtime
  • Oude en nieuwe wachtwoorden werken tijdens rotatie

Secrets opslaan in JSON-formaat

• Gestructureerde secrets
  • Meerdere waarden in één secret opslaan
• JSON-indeling
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Ophalen en parsen
  • Gebruik de GetSecretValue-API

Parameter Store-overzicht

• Onderdeel van AWS Systems Manager
• Doel
  • Configuratie en statische secrets opslaan
• Hiërarchische structuur
  • /app/prod/db/password
  • /app/dev/api-key
• Gratis laag
  • Tot 10.000 standaardparameters (max. 4 KB)
  • Geavanceerde parameters (max. 8 KB) kosten geld

Parameter types in Parameter Store

• String
  • Plattetekstconfig (feature flags, endpoints)
• StringList
  • Komma-gescheiden waarden (IP-adressen)
• SecureString
  • Versleuteld met KMS (wachtwoorden, API-sleutels)

Keuzegids: Secrets Manager vs Parameter Store

• Gebruik Secrets Manager wanneer
  • Automatische rotatie nodig is
  • Database-inloggegevens opslaan
• Gebruik Parameter Store wanneer
  • Statische configuratiewaarden
  • Kostenkritisch (gratis laag)
• Gebruik beide samen
  • Veelvoorkomend patroon in productie

Laten we oefenen!

Dataopslagdiensten gebruiken in AWS