AWS Secrets Manager a Parameter Store

Využití datových úložišť v AWS

Dunieski Otano

AWS Solutions Architect

Katastrofa způsobená zakódovaným heslem

• Vývojář zapíše heslo k databázi přímo do kódu
• Kód je nahraný do veřejného repozitáře na GitHubu
• Útočník heslo najde za 12 minut
• Databáze smazána, vyžadováno výkupné

Proč nikdy nekódovat tajné hodnoty přímo

• Časté chyby
  • Heslo přímo ve zdrojovém kódu
  • Prostý text v konfiguračních souborech
  • Uloženo ve verzovacím systému
• Důsledky
  • Odhalení ve veřejných repozitářích
  • Obtížná rotace
  • Chybějící audit trail

Přehled AWS Secrets Manager

• Účel
  • Ukládání a automatická rotace přihlašovacích údajů
• Co ukládat
  • Hesla k databázím, API klíče, OAuth tokeny
• Klíčové funkce
  • Automatická rotace, šifrování KMS, audit logging

Automatická rotace v Secrets Manager

• Proces rotace
  • Funkce Lambda aktualizuje přihlašovací údaje
• Okno rotace
  • Nastavení, kdy rotace proběhne (rate nebo cron)
• Nulový výpadek
  • Během rotace fungují stará i nová hesla

Ukládání tajných hodnot ve formátu JSON

• Strukturovaná tajná data
  • Více hodnot v jednom secretu
• Formát JSON
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Načtení a parsování
  • Použij API GetSecretValue

Přehled Parameter Store

• Součást AWS Systems Manager
• Účel
  • Ukládání konfigurace a statických tajných hodnot
• Hierarchická organizace
  • /app/prod/db/password
  • /app/dev/api-key
• Bezplatný tarif
  • Až 10 000 standardních parametrů (max 4 KB)
  • Rozšířené parametry (max 8 KB) jsou zpoplatněny

Typy parametrů v Parameter Store

• String
  • Konfigurace v prostém textu (příznaky funkcí, endpointy)
• StringList
  • Hodnoty oddělené čárkou (IP adresy)
• SecureString
  • Šifrováno pomocí KMS (hesla, API klíče)

Secrets Manager vs. Parameter Store: jak se rozhodnout

• Secrets Manager použij, když
  • Potřebuješ automatickou rotaci
  • Ukládáš přihlašovací údaje k databázi
• Parameter Store použij, když
  • Pracuješ se statickou konfigurací
  • Záleží ti na ceně (bezplatný tarif)
• Obojí společně
  • Běžný vzor v produkčním prostředí

Pojďme cvičit!

Využití datových úložišť v AWS