Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado y descifrado de secretos en AWS Secrets Manager

Secrets Manager utiliza el cifrado de sobres con las claves y claves de datos de AWS KMS para proteger cada valor del secreto. Siempre que cambia el valor secreto en un secreto, Secrets Manager solicita una nueva clave de datos de AWS KMS para protegerlo. La clave de datos se cifra como una clave de KMS y se almacena en los metadatos del secreto. Para descifrar el secreto, Secrets Manager primero debe descifrar la clave de datos utilizando la clave KMS en AWS KMS.

Secrets Manager no utiliza la clave KMS para cifrar directamente el valor del secreto. En cambio, utiliza la clave KMS para generar y cifrar una clave de datos simétrica AES (Advanced Encryption Standard) de 256 bits y utiliza la clave de datos para cifrar el valor del secreto. Secrets Manager utiliza la clave de datos de texto no cifrado para cifrar el valor del secreto fuera de AWS KMS y, a continuación, esta la elimina de la memoria. Almacena la copia cifrada de la clave de datos en los metadatos del secreto.

Elegir una clave de AWS KMS

Al crear un secreto, puede elegir cualquier clave de cifrado simétrica administrada por el cliente en la región y Cuenta de AWS, o bien puede usar la Clave administrada de AWS para Secrets Manager (aws/secretsmanager). Si elige la Clave administrada de AWS de aws/secretsmanager y esta aún no existe, Secrets Manager la creará y asociará al secreto. Puede utilizar la misma clave KMS o diferentes claves KMS para cada secreto de su cuenta. Es posible que desee utilizar diferentes claves de KMS para establecer permisos personalizados en las claves de un grupo de secretos, o si desea auditar operaciones específicas para esas claves. Secrets Manager solamente admite claves KMS de cifrado simétricas. Si utiliza una clave de KMS en un almacén de claves externo, las operaciones criptográficas en la clave de KMS pueden tardar más y ser menos fiables y duraderas, ya que la solicitud tiene que viajar fuera de AWS.

Para obtener información sobre cómo cambiar la clave de cifrado de un secreto, consulte Cambiar la clave de cifrado de un secreto AWS Secrets Manager.

Al cambiar la clave de cifrado, Secrets Manager vuelve a cifrar las versiones AWSCURRENT, AWSPENDING y AWSPREVIOUS con la nueva clave. Para evitar que descubra el secreto, Secrets Manager mantiene todas las versiones existentes cifradas con la clave anterior. Esto significa que puede descifrar las versiones AWSCURRENT, AWSPENDING y AWSPREVIOUS con la clave anterior o con la nueva clave. Si no tiene permiso kms:Decrypt para usar la clave anterior, al cambiar la clave de cifrado, Secrets Manager no podrá descifrar las versiones secretas para volver a cifrarlas. En este caso, las versiones existentes no se vuelven a cifrar.

Para que solo AWSCURRENT se pueda descifrar con la nueva clave de cifrado, cree una nueva versión del secreto con la nueva clave. Luego, para poder descifrar la versión secreta de AWSCURRENT, debe tener permiso para usar la nueva clave.

Puede denegar el permiso a Clave administrada de AWS aws/secretsmanager y exigir que los secretos se cifren con una clave administrada por el cliente. Para obtener más información, consulte Ejemplo: denegar una clave AWS KMS específica para cifrar secretos.

Para encontrar la clave KMS asociada a un secreto, vea el secreto en la consola o llame a ListSecrets o DescribeSecret. Cuando el secreto está asociado a la Clave administrada de AWS para Secrets Manager (aws/secretsmanager), estas operaciones no devuelven un identificador de clave de KMS.

¿Qué se cifra?

Secrets Manager cifra el valor secreto, pero no cifra lo siguiente:

Procesos de cifrado y descifrado

Para cifrar el valor de secreto en un secreto, Secrets Manager utiliza el siguiente proceso.

Para descifrar un valor de secreto cifrado:

Permisos para la clave KMS

Cuando Secrets Manager utiliza una clave KMS en las operaciones criptográficas, actúa en nombre del usuario que está creando o modificando el valor del secreto. Puede conceder estos permisos en una política de IAM o en una política de claves. Las siguientes operaciones de Secrets Manager requieren AWS KMS permmisos.

Para permitir que la clave KMS solo se pueda utilizar para las solicitudes que se originan en Secrets Manager, en la política de permisos, puede usar la clave de condición kms:ViaService con el valor secretsmanager.<Region>.amazonaws.com.

También puede utilizar las claves o los valores en el contexto de cifrado como condición para utilizar la clave KMS para operaciones criptográficas. Por ejemplo, puede utilizar un operador de condición de cadena en un documento de IAM o de políticas de claves, o bien utilizar una restricción de concesión en una concesión. La propagación de la concesión de claves de KMS puede tardar hasta cinco minutos. Para obtener más información, consulte CreateGrant.

Cómo Secrets Manager utiliza su clave KMS

Secrets Manager realiza las siguientes AWS KMS operaciones con su clave KMS.

Política de clave de la Clave administrada de AWS (aws/secretsmanager)

La política de claves para la Clave administrada de AWS para Secrets Manager (aws/secretsmanager) da a los usuarios permiso para utilizar la clave KMS solo para las operaciones especificadas solo cuando Secrets Manager realiza la solicitud en nombre del usuario. La política de claves no permite a ningún usuario utilizar la clave KMS directamente.

Esta política de claves, como las políticas de todas las Claves administradas por AWS, la establece el servicio. No puede cambiar la política de claves, pero puede verla en cualquier momento. Para obtener más detalles, consulte Ver una política de clave.

Las declaraciones de política de la política de claves tienen el siguiente efecto:

A continuación se muestra una política de claves para un ejemplo de Clave administrada de AWS para Secrets Manager.

{
  "Id": "auto-secretsmanager-2",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:CreateGrant",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333",
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": "kms:GenerateDataKey*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow direct access to key metadata to the account",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root"
        ]
      },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Contexto de cifrado en Secrets Manager

Un contexto de cifrado es un conjunto de pares de clave-valor que contienen datos no secretos arbitrarios. Cuando se incluye un contexto de cifrado en una solicitud para cifrar datos, AWS KMS vincula criptográficamente el contexto de cifrado a los datos cifrados. Para descifrar los datos, es necesario pasar el mismo contexto de cifrado.

En sus solicitudes GenerateDataKey y Decrypt a AWS KMS, Secrets Manager utiliza un contexto de cifrado con dos pares de nombre-valor que identifican el secreto y su versión, tal y como se muestra en el siguiente ejemplo. Los nombres no varían, pero los valores de contexto de cifrado combinado serán diferentes para cada valor de secreto.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "EXAMPLE1-90ab-cdef-fedc-ba987SECRET1"
}

Puede utilizar el contexto de cifrado para identificar esta operación criptográfica en los registros y logs de auditoría, como AWS CloudTrail y Amazon CloudWatch Logs, y como una condición para la autorización de las políticas y concesiones.

El contexto de cifrado de Secrets Manager se compone de dos pares de nombre-valor.

Al establecer o cambiar la clave KMS de un secreto, Secrets Manager envía solicitudes GenerateDataKey y Decrypt a AWS KMS para comprobar que el intermediario tiene permiso para utilizar la clave KMS para estas operaciones. Descarta las respuestas; no las utiliza en el valor del secreto.

En estos solicitudes de validación, el valor de SecretARN es el ARN real del secreto, pero el valor SecretVersionId es RequestToValidateKeyAccess, tal y como se muestra en el siguiente ejemplo de contexto de cifrado. Este valor especial le ayudará a identificar las solicitudes de validación en los registros y las pistas de auditoría.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "RequestToValidateKeyAccess"
}

Monitorear la interacción de Secrets Manager con AWS KMS

Puede usar AWS CloudTrail y Amazon CloudWatch Logs para realizar un seguimiento de las solicitudes que Secrets Manager envía a AWS KMS en su nombre. Para obtener más información acerca del monitoreo del uso de los secretos, consulte Monitorear secretos de AWS Secrets Manager.