Segurança e permissões

Os segredos externos gerenciados não exigem que você compartilhe privilégios de administrador de suas contas de aplicativos de terceiros. AWS Em vez disso, o processo de rotação usa as credenciais e os metadados que você fornece para fazer chamadas de API autorizadas ao aplicativo de terceiros para atualizações e validação de credenciais.

Os segredos externos gerenciados mantêm os mesmos padrões de segurança de outros tipos de segredos do Secrets Manager. Os valores secretos são criptografados em repouso usando suas chaves KMS e em trânsito usando TLS. O acesso aos segredos é controlado por meio de políticas do IAM e políticas baseadas em recursos. Ao usar uma chave gerenciada pelo cliente para criptografar seu segredo, você precisará atualizar a política de IAM da função de rotação e a política de confiança da CMK para fornecer as permissões necessárias para garantir a rotação bem-sucedida.

Para que a rotação funcione corretamente, você deve fornecer ao Secrets Manager permissões específicas para gerenciar o ciclo de vida secreto. Essas permissões podem ter como escopo segredos individuais e seguir o princípio do menor privilégio. A função de rotação que você fornece é validada durante a configuração e usada exclusivamente para operações de rotação.

Você pode restringir a entrada de IP ao seu recurso externo permitindo apenas a lista de prefixos gerenciados por segredos AWS externos gerenciados pelo Secrets Manager na região em que seu segredo existe. A lista de prefixos é nomeadacom.amazonaws.region.secretsmanager-managed-external-secrets, onde region está a AWS região do seu segredo. O uso da lista de prefixos gerenciados garante que suas regras de entrada permaneçam atualizadas automaticamente à medida que os intervalos de IP subjacentes mudam.

Se preferir referenciar a lista de prefixos de forma programática, você pode usar a GetManagedPrefixListEntries API para listar os IPs que precisam ser permitidos na lista. Você deve atualizar periodicamente suas regras de entrada com essa lista de prefixos para mantê-las atualizadas.

AWS Secrets Manager também oferece soluções de toque único para criar a política do IAM com as permissões necessárias para gerenciar o segredo ao criar o segredo por meio do console do Secrets Manager. As permissões para essa função têm um escopo reduzido para cada parceiro de integração em cada região.

Exemplo de política de permissões:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRotationAccess",
      "Action": [
        "secretsmanager:DescribeSecret",
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue",
        "secretsmanager:UpdateSecretVersionStage"
      ],
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "secretsmanager:resource/Type": "SalesforceClientSecret"
        }
      }
    },
    {
      "Sid": "AllowPasswordGenerationAccess",
      "Action": [
        "secretsmanager:GetRandomPassword"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Nota: A lista de tipos de segredos que estão disponíveis para secretsmanager: resource/Type pode ser encontrada em Integration Partners.

Exemplo de política de confiança:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecretsManagerPrincipalAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "secretsmanager.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:*"
        }
      }
    }
  ]
}