AWS Secrets Manager et Parameter Store

Utiliser les magasins de données dans AWS

Dunieski Otano

AWS Solutions Architect

Le désastre du mot de passe en dur

• Le développeur met en dur le mot de passe BD dans le code
• Le code est poussé sur GitHub public
• Un attaquant trouve le mot de passe en 12 minutes
• Base de données effacée, rançon exigée

Pourquoi ne jamais coder des secrets en dur

• Erreurs courantes
  • En dur dans le code source
  • En clair dans les fichiers de config
  • Commit dans le contrôle de version
• Conséquences
  • Exposé dans des dépôts publics
  • Rotation difficile
  • Traçabilité absente

Aperçu d'AWS Secrets Manager

• Objectif
  • Stocker et faire tourner les identifiants automatiquement
• Que stocker
  • Mots de passe BD, clés API, jetons OAuth
• Fonctionnalités clés
  • Rotation automatique, chiffrement KMS, audit logging

Rotation automatique avec Secrets Manager

• Processus de rotation
  • Une fonction Lambda met à jour les identifiants
• Fenêtre de rotation
  • Définir quand la rotation a lieu (rate ou cron)
• Aucune indisponibilité
  • Anciens et nouveaux mots de passe valides pendant la rotation

Stocker des secrets en JSON

• Secrets structurés
  • Stocker plusieurs valeurs dans un secret
• Format JSON
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Récupérer et parser
  • Utiliser l'API GetSecretValue

Aperçu de Parameter Store

• Fait partie de AWS Systems Manager
• Objectif
  • Stocker la config et des secrets statiques
• Organisation hiérarchique
  • /app/prod/db/password
  • /app/dev/api-key
• Offre gratuite
  • Jusqu'à 10 000 paramètres standard (4 Ko max)
  • Paramètres avancés (8 Ko max) facturés

Types de paramètres dans Parameter Store

• String
  • Texte brut (feature flags, endpoints)
• StringList
  • Valeurs séparées par des virgules (adresses IP)
• SecureString
  • Chiffré avec KMS (mots de passe, clés API)

Guide de choix : Secrets Manager vs Parameter Store

• Utiliser Secrets Manager si
  • Besoin de rotation automatique
  • Stockage d'identifiants de base de données
• Utiliser Parameter Store si
  • Valeurs de configuration statiques
  • Sensible aux coûts (offre gratuite)
• Utiliser les deux
  • Schéma courant en production

Passons à la pratique !

Utiliser les magasins de données dans AWS