Einführung in AWS Secrets Manager

Der Schutz Ihrer Daten ist heutzutage die wichtigste Aufgabe eines jeden Sicherheitsexperten. Sobald die Daten mithilfe von Datenschutztools und Passphrasen bzw. Passwörtern geschützt sind, besteht die nächste Herausforderung darin, die Passphrasen bzw. Passwörter bzw. Geheimnisse selbst zu schützen. Dafür benötigen Sie ein Software- oder Hardwaretool, das Sie bei der effektiven und effizienten Verwaltung der Geheimnisse unterstützt. AWS Secrets Manager ist ein solches Tool, das Passwörter, Datenbankanmeldeinformationen, API-Schlüssel und andere Geheimnisse während ihres gesamten Lebenszyklus verwalten, abrufen und rotieren kann. Es bietet optimale Sicherheit für die zentrale Anmeldeinformationsverwaltung und vermeidet so die harte Kodierung von Anmeldeinformationen im Code.

Heute besprechen wir den AWS Secrets Manager und seine Rolle bei der Anmeldeinformationsverwaltung, die einige der kritischen Sicherheitsanwendungsfälle erleichtert.

Merkmale von AWS Secrets Manager

AWS Secrets Manager bietet verschiedene Funktionen im Hinblick auf die Verwaltung von Anmeldeinformationen, beispielsweise:

1. Integration mit AWS KMS: AWS Secrets Manager ist vollständig in den AWS KMS-Dienst integriert und verschlüsselt Geheimnisse als ruhende Daten Verschlüsselung mit den vom Kunden verwalteten KMS-Schlüsseln. Beim Abrufen der Geheimnisse entschlüsselt die Geheimnisse mit denselben CMK-KMS-Schlüsseln, die zuvor für die Verschlüsselung verwendet wurden, und überträgt die Geheimnisse sicher an Ihre lokale Umgebung.
2. Geheime Rotation: Mit AWS Secrets Manager erfüllen Sie die Sicherheits- und Compliance-Anforderungen Ihres Unternehmens. Die Funktion zur Geheimnisrotation wird Ihnen bei Bedarf oder planmäßig über die AWS-Managementkonsole, das AWS SDK oder die AWS CLI bereitgestellt.
3. Integration mit AWS-Datenbankdiensten: AWS Secrets Manager unterstützt native AWS-Datenbankdienste wie Amazon RDS, Amazon DocumentDB und Amazon Redshift. Darüber hinaus können Sie mithilfe benutzerdefinierter Lambda-Funktionen auch andere Arten von Geheimnissen wie API-Schlüssel, OAuth-Token und andere Anmeldeinformationen rotieren.
4. Enthält mehrere Versionen von Geheimnissen: AWS Secrets Manager kann mithilfe von Staging-Labels, die während der Rotation der Geheimnisse an die Version angehängt werden, mehrere Versionen von Geheimnissen enthalten. Jede Version des Geheimnisses enthält eine Kopie des verschlüsselten Geheimniswerts.
5. Verwalten Sie den Zugriff mit fein abgestuften Richtlinien:  AWS Secrets Manager bietet Ihnen flexibles Zugriffsmanagement mit IAM-Richtlinien und ressourcenbasierten Richtlinien. So können Sie beispielsweise Geheimnisse aus Ihrer benutzerdefinierten Anwendung auf EC2 abrufen, um eine Verbindung zu einer bestimmten Datenbankinstanz (lokal oder in der Cloud) herzustellen.
6. Geheimnisse zentral sichern und prüfen: AWS Secrets Manager ist für Protokollierungs- und Prüfzwecke vollständig in den AWS CloudTrail-Dienst integriert. AWS CloudTrail zeigt beispielsweise die API-Aufrufe zum Erstellen, Abrufen und Löschen des Geheimnisses usw. an.

Wir haben einige der Merkmale des Secrets Managers besprochen. Nachfolgend finden Sie die wichtigsten Punkte, die Sie bei der Arbeit mit Secrets Manager beachten sollten:

1. Sie können Geheimnisse für Datenbanken, Ressourcen in der On-Premise- und AWS-Cloud, SaaS-Anwendungen, API-Schlüssel von Drittanbietern und SSH-Schlüssel usw. verwalten.
2. AWS Secrets Manager bietet die Einhaltung aller wichtigen Industriestandards wie HIPAA, PCI-DSS, ISO, FedRAMP, SOC usw.
3. Secrets Manager speichert die Geheimnisse nicht im Klartext im permanenten Speicher.
4. Da der Secrets Manager die Geheimnisse über den sicheren Kanal bereitstellt, lässt er keine unsicheren Anfragen von Hosts zu.
5. Secrets Manager unterstützt die AWS-Tags-Funktion, sodass Sie eine tagbasierte Zugriffskontrolle für vom Secrets Manager verwaltete Geheimnisse implementieren können.
6. Um den Datenverkehr zu sichern und zu verhindern, dass er über das offene Internet läuft, können Sie innerhalb Ihrer VPC einen privaten Endpunkt konfigurieren, um die Kommunikation zwischen Ihrer VPC und Secrets Manager zu ermöglichen.
7. Secrets Manager löscht die Geheimnisse nicht sofort, sondern plant die Löschung für einen Zeitraum von mindestens 7 Tagen. Innerhalb dieser 7 Tage können Sie die Geheimnisse je nach Bedarf wiederherstellen. Nach Ablauf des geplanten Zeitraums werden die Geheimnisse dauerhaft gelöscht. Über die AWS CLI können Sie jedoch alle Geheimnisse sofort löschen.
8. Der AWS Secrets Manager bietet ein kostengünstiges Preismodell, bei dem 0.40 USD pro Geheimnis und Monat oder 0.05 USD pro 10 API-Aufrufe berechnet werden.

Anwendungsfälle für AWS Secrets Manager

1.  Mit Secrets Manager müssen Anmeldeinformationen oder vertrauliche Informationen nicht fest in Ihren Anwendungscode kodiert werden. Es ermöglicht einen API-Aufruf an den Secrets Manager, um das Geheimnis programmgesteuert abzurufen. Dieser Mechanismus verhindert, dass vertrauliche Informationen oder Anmeldeinformationen kompromittiert werden, da geheime Informationen nicht im Klartext des Codes vorhanden sind.
2. Secrets Manager bietet eine zentralisierte Anmeldeinformationsverwaltung, die den Betriebsaufwand reduziert und durch die aktive Rotation der Anmeldeinformationen in regelmäßigen Abständen die Sicherheitslage des Unternehmens verbessert.

Ressourcen: https://aws.amazon.com/secrets-manager/pricing/

Fazit

Die Verwaltung geheimer Daten spielt eine entscheidende Rolle für den Datenschutz in jeder Organisation und in jeder Umgebung (lokal oder in der Cloud). AWS Secrets Manager bietet umfangreiche Funktionen für die Verwaltung geheimer Daten. Es unterstützt eine Vielzahl von geheimen Daten, wie z. B. Datenbankanmeldeinformationen, Anmeldeinformationen für lokale Ressourcen, Anmeldeinformationen für SaaS-Anwendungen, API-Schlüssel, SSH-Schlüssel usw. In der heutigen Sicherheitswelt gibt es eine Vielzahl von Lösungen zur Verwaltung geheimer Daten. Da AWS Secrets Manager nahtlos in der AWS-Umgebung funktioniert, bietet es auch eine hohe Kompatibilität mit anderen Umgebungen (lokal).