AWS Secrets Manager och Parameter Store

Använda datalagringstjänster i AWS

Dunieski Otano

AWS Solutions Architect

Katastrofen med hårdkodat lösenord

• Utvecklare hårdkodar databaslösenord i koden
• Koden pushas till ett publikt GitHub-repo
• Angripare hittar lösenordet på 12 minuter
• Databasen raderas och lösensumma krävs

Varför du aldrig ska hårdkoda hemligheter

• Vanliga misstag
  • Hårdkodat i källkoden
  • Klartext i konfigurationsfiler
  • Incheckad i versionshantering
• Konsekvenser
  • Exponerat i publika repon
  • Svårt att rotera
  • Granskningslogg saknas

Översikt över AWS Secrets Manager

• Syfte
  • Lagra och rotera autentiseringsuppgifter automatiskt
• Vad som lagras
  • Databaslösenord, API-nycklar, OAuth-token
• Nyckelfunktioner
  • Automatisk rotation, KMS-kryptering, granskningsloggning

Automatisk rotation i Secrets Manager

• Rotationsprocess
  • Lambda-funktion uppdaterar autentiseringsuppgifter
• Rotationsfönster
  • Ange när rotation sker (intervall eller cron)
• Noll driftstopp
  • Både gammalt och nytt lösenord fungerar under rotation

Lagra hemligheter i JSON-format

• Strukturerade hemligheter
  • Lagra flera värden i en hemlighet
• JSON-format
  • {"username": "admin", "password": "...", "host": "db.example.com"}
• Hämta och tolka
  • Använd GetSecretValue API

Översikt över Parameter Store

• Del av AWS Systems Manager
• Syfte
  • Lagra konfiguration och statiska hemligheter
• Hierarkisk organisation
  • /app/prod/db/password
  • /app/dev/api-key
• Gratiskvot
  • Upp till 10 000 standardparametrar (max 4 KB)
  • Avancerade parametrar (max 8 KB) är avgiftsbelagda

Parametertyper i Parameter Store

• String
  • Klartextkonfiguration (funktionsflaggor, slutpunkter)
• StringList
  • Kommaseparerade värden (IP-adresser)
• SecureString
  • Krypterad med KMS (lösenord, API-nycklar)

Secrets Manager eller Parameter Store – vägledning

• Använd Secrets Manager när
  • Automatisk rotation krävs
  • Databasuppgifter lagras
• Använd Parameter Store när
  • Statiska konfigurationsvärden används
  • Kostnad är avgörande (gratiskvot)
• Använd båda tillsammans
  • Vanligt mönster i produktion

Nu kör vi en övning!

Använda datalagringstjänster i AWS