AWS Secrets Manager i Parameter Store

Korzystanie z magazynów danych w AWS

Dunieski Otano

AWS Solutions Architect

Katastrofa z hasłem zapisanym na stałe

• Programista zapisuje hasło do bazy danych na stałe w kodzie
• Kod trafia do publicznego repozytorium GitHub
• Atakujący znajduje hasło w 12 minut
• Baza danych zostaje wyczyszczona, pada żądanie okupu

Dlaczego nie wolno zapisywać sekretów na stałe

• Typowe błędy
  • Hasło zakodowane na stałe w kodzie źródłowym
  • Dane w czystym tekście w plikach konfiguracyjnych
  • Dane zatwierdzone w systemie kontroli wersji
• Konsekwencje
  • Ujawnione w publicznych repozytoriach
  • Trudna rotacja
  • Brak śladu audytowego

Omówienie AWS Secrets Manager

• Przeznaczenie
  • Przechowywanie i automatyczna rotacja poświadczeń
• Co przechowywać
  • Hasła do baz danych, klucze API, tokeny OAuth
• Główne funkcje
  • Automatyczna rotacja, szyfrowanie KMS, rejestr audytu

Automatyczna rotacja w Secrets Manager

• Proces rotacji
  • Funkcja Lambda aktualizuje poświadczenia
• Okno rotacji
  • Ustal, kiedy następuje rotacja (interwał lub cron)
• Zero przestojów
  • Stare i nowe hasło działają jednocześnie podczas rotacji

Przechowywanie sekretów w formacie JSON

• Sekrety strukturalne
  • Wiele wartości w jednym sekrecie
• Format JSON
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Pobieranie i parsowanie
  • Użyj API GetSecretValue

Omówienie Parameter Store

• Część AWS Systems Manager
• Przeznaczenie
  • Przechowywanie konfiguracji i statycznych sekretów
• Hierarchiczna organizacja
  • /app/prod/db/password
  • /app/dev/api-key
• Bezpłatny poziom
  • Do 10 000 standardowych parametrów (maks. 4 KB)
  • Zaawansowane parametry (maks. 8 KB) są płatne

Typy parametrów w Parameter Store

• String
  • Konfiguracja w czystym tekście (flagi funkcji, adresy endpointów)
• StringList
  • Wartości oddzielone przecinkami (adresy IP)
• SecureString
  • Zaszyfrowane za pomocą KMS (hasła, klucze API)

Secrets Manager czy Parameter Store — jak wybrać?

• Kiedy używać Secrets Manager
  • Potrzebujesz automatycznej rotacji
  • Przechowujesz poświadczenia do baz danych
• Kiedy używać Parameter Store
  • Statyczne wartości konfiguracyjne
  • Ważny koszt (bezpłatny poziom)
• Używaj obu razem
  • Typowy wzorzec w środowisku produkcyjnym

Czas na praktykę!

Korzystanie z magazynów danych w AWS