Que contient le secret d'un Secrets Manager ? - AWS Secrets Manager
MetadonnéesVersions secrètes

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Que contient le secret d'un Secrets Manager ?

Dans Secrets Manager, un secret se compose d'informations secrètes, de la valeur de secret et de métadonnées sur le secret. Une valeur de secret peut être une chaîne ou binaire.

Pour stocker plusieurs valeurs de chaîne dans un secret, nous vous recommandons d'utiliser une chaîne de texte JSON avec des paires clé-valeur, par exemple :

{
  "host"       : "ProdServer-01.databases.example.com",
  "port"       : "8888",
  "username"   : "administrator",
  "password"   : "EXAMPLE-PASSWORD",
  "dbname"     : "MyDatabase",
  "engine"     : "mysql"
}

Pour les secrets de base de données, si vous souhaitez activer la rotation automatique, le secret doit contenir les informations de connexion à la base de données dans la structure JSON appropriée. Pour plus d’informations, consultez Structure JSON des AWS Secrets Manager secrets .

Metadonnées

Les métadonnées d'un secret comprennent :

  • Un Amazon Resource Name (ARN) avec le format suivant :

    arn:aws:secretsmanager:<Region>:<AccountId>:secret:SecretName-6RandomCharacters

    Secrets Manager inclut six caractères aléatoires à la fin du nom du secret pour garantir que l'ARN secret est unique. Si le secret d'origine est supprimé, puis est créé qu'un nouveau secret portant le même nom, les deux secrets ont des ARN différents en raison de ces caractères. Les utilisateurs ayant accès à l'ancien secret n'ont pas automatiquement accès au nouveau secret car les ARN sont différents.

  • Le nom du secret, une description, une politique de ressources et des balises.

  • L'ARN d'une clé de chiffrement, AWS KMS key que Secrets Manager utilise pour chiffrer et déchiffrer la valeur secrète. Secrets Manager stocke toujours le texte du secret sous une forme chiffrée et chiffre le secret en transit. Voir Chiffrement et déchiffrement secrets dans AWS Secrets Manager.

  • Des informations sur la façon d'effectuer une rotation du secret, dans le cas où vous configurez la rotation. veuillez consulter Faire pivoter AWS Secrets Manager les secrets.

Secrets Manager utilise des politiques d'autorisation IAM pour s'assurer que seuls les utilisateurs autorisés peuvent accéder à un secret ou le modifier. veuillez consulter Authentification et contrôle d'accès pour AWS Secrets Manager.

Un secret possède des versions qui contiennent des copies de la valeur secrète cryptée. Lorsque vous modifiez la valeur du secret ou que ce dernier est tourné, Secrets Manager crée une nouvelle version. veuillez consulter Versions secrètes.

Vous pouvez utiliser un secret sur plusieurs Régions AWS en le répliquant. Lorsque vous répliquez un secret, vous créez une copie du secret primaire appelé secret de réplica ou de l'original. Le secret de réplica reste lié au secret primaire. veuillez consulter Reproduisez les AWS Secrets Manager secrets d'une région à l'autre.

veuillez consulter Créez et gérez des secrets avec AWS Secrets Manager.

Versions secrètes

Un secret possède des versions qui contiennent des copies de la valeur secrète cryptée. Lorsque vous modifiez la valeur du secret ou que ce dernier est tourné, Secrets Manager crée une nouvelle version.

Secrets Manager ne stocke pas d'historique linéaire des secrets avec les versions. Au lieu de cela, il garde une trace de trois versions spécifiques en les étiquetant :

  • Version actuelle : AWSCURRENT

  • Version précédente : AWSPREVIOUS

  • Version en attente (pendant la rotation) : AWSPENDING

Un secret possède toujours une version étiquetée AWSCURRENT et Secrets Manager renvoie cette version par défaut lorsque vous récupérez la valeur du secret.

Vous pouvez également étiqueter les versions avec vos propres étiquettes update-secret-version-stageen appelant le AWS CLI. Vous pouvez attacher jusqu'à 20 étiquettes aux versions d'un secret. Deux versions d'un secret ne peuvent pas avoir la même étiquette intermédiaire. Les versions peuvent avoir plusieurs étiquettes.

Secrets Manager ne supprime jamais les versions étiquetées, mais les versions non étiquetées sont considérées comme obsolètes. Secrets Manager supprime les versions obsolètes lorsqu'il y en a plus de 100. Secrets Manager ne supprime pas les versions créées il y a moins de 24 heures.

La figure suivante montre un secret qui a AWS étiqueté des versions et des versions étiquetées par le client. Les versions sans étiquette sont considérées comme obsolètes et seront supprimées ultérieurement par Secrets Manager.

A secret that contains multiple secret versions, some with labels such as AWSCURRENT or MyLabelA, and some without labels.