Sicherheit und Berechtigungen

Bei verwalteten externen Geheimnissen müssen Sie die Administratorrechte Ihrer Drittanbieter-Anwendungskonten nicht mit anderen teilen. AWS Stattdessen verwendet der Rotationsprozess Anmeldeinformationen und Metadaten, die Sie angeben, um autorisierte API-Aufrufe an die Drittanbieteranwendung zur Aktualisierung und Validierung der Anmeldeinformationen zu senden.

Für verwaltete externe Secrets gelten dieselben Sicherheitsstandards wie für andere Secrets Manager-Geheimtypen. Geheime Werte werden im Ruhezustand mit Ihren KMS-Schlüsseln und bei der Übertragung mit TLS verschlüsselt. Der Zugriff auf geheime Daten wird durch IAM-Richtlinien und ressourcenbasierte Richtlinien gesteuert. Wenn Sie einen vom Kunden verwalteten Schlüssel zum Verschlüsseln Ihres Secrets verwenden, müssen Sie die IAM-Richtlinie der Rotationsrolle und die CMK-Trust-Richtlinie aktualisieren, um die erforderlichen Berechtigungen für eine erfolgreiche Rotation bereitzustellen.

Damit die Rotation ordnungsgemäß funktioniert, müssen Sie Secrets Manager spezifische Berechtigungen zur Verwaltung des geheimen Lebenszyklus gewähren. Diese Berechtigungen können auf einzelne Geheimnisse beschränkt werden und folgen dem Prinzip der geringsten Rechte. Die von Ihnen angegebene Rotationsrolle wird beim Setup überprüft und ausschließlich für Rotationsvorgänge verwendet.

Sie können den IP-Zugang zu Ihrer externen Ressource einschränken, indem Sie die von Secrets Manager verwaltete, von externen Geheimnissen verwaltete Präfixliste nur in der Region zulassen, in der Ihr Secret existiert. AWS Die Präfixliste ist benanntcom.amazonaws.region.secretsmanager-managed-external-secrets, wo region ist die AWS Region Ihres Geheimnisses. Durch die Verwendung der verwalteten Präfixliste wird sichergestellt, dass Ihre Eingangsregeln automatisch auf dem neuesten Stand bleiben, wenn sich die zugrunde liegenden IP-Bereiche ändern.

Wenn Sie es vorziehen, programmgesteuert auf die Präfixliste zu verweisen, können Sie die GetManagedPrefixListEntries API verwenden, um die IP-Adressen aufzulisten, die zugelassen werden müssen. Sie sollten Ihre Eingangsregeln regelmäßig mit dieser Präfixliste aktualisieren, um sie auf dem neuesten Stand zu halten.

AWS Secrets Manager bietet auch Single-Touch-Lösungen zum Erstellen der IAM-Richtlinie mit den für die Verwaltung des Secrets erforderlichen Berechtigungen, wenn das Geheimnis über die Secrets Manager-Konsole erstellt wird. Die Berechtigungen für diese Rolle sind für jeden Integrationspartner in jeder Region individuell festgelegt.

Beispiel für eine Berechtigungsrichtlinie:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRotationAccess",
      "Action": [
        "secretsmanager:DescribeSecret",
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue",
        "secretsmanager:UpdateSecretVersionStage"
      ],
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "secretsmanager:resource/Type": "SalesforceClientSecret"
        }
      }
    },
    {
      "Sid": "AllowPasswordGenerationAccess",
      "Action": [
        "secretsmanager:GetRandomPassword"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Hinweis: Die Liste der Geheimtypen, die für secretsmanager: verfügbar sind, resource/Type finden Sie unter Integrationspartner.

Beispiel für eine Vertrauensrichtlinie:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecretsManagerPrincipalAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "secretsmanager.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:*"
        }
      }
    }
  ]
}