Hvordan fungerer AWS Secrets Manager?

AWS Secrets Manager gemmer, krypterer og roterer automatisk følsomme legitimationsoplysninger som databaseadgangskoder, API-nøgler og tokens. Det eliminerer behovet for at hardkode hemmeligheder i din applikationskode ved at give sikker, API-baseret adgang til legitimationsoplysninger under kørsel.

Hvordan gemmer og krypterer Secrets Manager hemmeligheder?

Hver hemmelighed, der er gemt i Secrets Manager, krypteres i hvile ved hjælp af AWS KMS (Key Management Service) krypteringsnøgler. Når du opretter en hemmelighed, angiver du den følsomme værdi (en adgangskode, forbindelsesstreng eller JSON-blob), og Secrets Manager krypterer den før lagring. Du kan bruge den standard AWS-administrerede nøgle eller angive din egen kundeadministrerede KMS-nøgle for yderligere kontrol.

Adgang styres gennem IAM-politikker - kun autoriserede brugere, roller og applikationer kan hente hemmeligheder. Hvert adgangsforsøg logges i AWS CloudTrail, hvilket skaber et komplet revisionsspor.

Hvordan fungerer automatisk hemmelig rotation?

Secrets Manager kan automatisk rotere legitimationsoplysninger efter en tidsplan, du definerer, uden at kræve nedetid for programmet. Rotation bruger en Lambda-funktion, der genererer en ny legitimation, opdaterer den i både Secrets Manager og måltjenesten (som en RDS-database) og verificerer, at den nye legitimationsoplysninger fungerer, før den gamle trækkes tilbage.

Indbygget rotationsunderstøttelse er tilgængelig for Amazon RDS, Amazon Redshift og Amazon DocumentDB. For andre tjenester kan du skrive brugerdefinerede Lambda-rotationsfunktioner.

Hvordan henter applikationer hemmeligheder?

Applikationer kalder Secrets Manager API ved kørsel for at hente den aktuelle hemmelige værdi i stedet for at læse legitimationsoplysninger fra konfigurationsfiler eller miljøvariabler. Det typiske flow er:

1. Applikationen kalder GetSecretValue API med det hemmelige navn
2. Secrets Manager bekræfter IAM-tilladelser
3. Hvis den er godkendt, returneres den dekrypterede hemmelige værdi
4. Applikationen bruger legitimationsoplysningerne til at oprette forbindelse til måltjenesten

SDK'er er tilgængelige til Python, Java, Node.js, Go, .NET og andre sprog. Caching-biblioteker reducerer API-kald og forsinkelser for hemmeligheder, der ofte tilgås.

Hvad koster Secrets Manager?

Prisen er baseret på antallet af gemte hemmeligheder ($0,40/hemmelighed/måned) og API-kald ($0,05 pr. 10.000 opkald). Der er ingen gebyr for hemmeligheder oprettet og slettet inden for samme dag, hvilket er nyttigt under udvikling og test.

For organisationer, der administrerer flere AWS-konti og -tjenester, kan Opsios IT-sikkerhedstjenester designe og implementere en hemmelighedsstyringsstrategi, der inkluderer rotationspolitikker, adgangsstyring og usage of credentialusage of credential.