As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criptografia e descriptografia de segredos no AWS Secrets Manager

O Secrets Manager usa criptografia de envelope com chaves do AWS KMS e chaves de dados para proteger o valor de cada segredo. Sempre que o valor do segredo muda, o Secrets Manager solicita uma nova chave de dados do AWS KMS para protegê-lo. A chave de dados é criptografada em uma chave do KMS e é armazenada nos metadados do segredo. Para descriptografar o segredo, o Secrets Manager primeiro descriptografa a chave de dados criptografada usando a chave do KMS no AWS KMS.

O Secrets Manager não usa a chave do KMS para criptografar o valor do segredo diretamente. Em vez disso, ele usa a chave do KMS para gerar e criptografar uma chave de dados simétrica de Padrão de criptografia avançada (AES) de 256 bits e usa a chave de dados para criptografar o valor do segredo. O Secrets Manager usa a chave de dados de texto simples para criptografar o valor do segredo fora do AWS KMS e, em seguida, a remove da memória. Ele armazena a cópia criptografada da chave de dados nos metadados do segredo.

Escolha de uma chave do AWS KMS

Ao criar um segredo, é possível escolher qualquer chave simétrica de criptografia gerenciada pelo cliente na região e na Conta da AWSou usar a Chave gerenciada pela AWS para o Secrets Manager (aws/secretsmanager). Se você escolher a Chave gerenciada pela AWS da aws/secretsmanager e ela ainda não existir, o Secrets Manager a criará e a associará ao segredo. É possível usar a mesma chave do KMS ou diferentes chaves do KMS para cada segredo na sua conta. Talvez você queira usar chaves KMS diferentes para definir permissões personalizadas nas chaves para um grupo de segredos ou se quiser auditar operações específicas para essas chaves. O Secrets Manager só oferece suporte a chaves de criptografia simétricas do KMS. Se você usar uma chave KMS em um armazenamento de chaves externas, as operações criptográficas na chave KMS podem levar mais tempo e ter menos confiabilidade e durabilidade, pois a solicitação precisa sair da AWS.

Para obter informações sobre alterar a chave de criptografia de um segredo, consulte Altere a chave de criptografia de um segredo AWS Secrets Manager.

Quando você altera a chave de criptografia, o Secrets Manager criptografa novamente as versões AWSCURRENT, AWSPENDING e AWSPREVIOUS com a nova chave. Para evitar que você fique bloqueado sem o segredo, o Secrets Manager mantém todas as versões existentes criptografadas com a chave anterior. Isso significa que é possível descriptografar as versões AWSCURRENT, AWSPENDING e AWSPREVIOUS com a chave anterior ou com a nova chave. Se você não tiver a permissão kms:Decrypt para a chave anterior, ao alterar a chave de criptografia, o Secrets Manager não poderá descriptografar as versões do segredo para recriptografá-las. Nesse caso, as versões existentes não serão criptografadas novamente.

Para fazer com que AWSCURRENT só possa ser descriptografado pela nova chave de criptografia, crie uma nova versão do segredo com a nova chave. Em seguida, para poder decifrar a versão do segredo AWSCURRENT, você deverá ter permissão para a nova chave.

É possível negar a permissão para a Chave gerenciada pela AWS aws/secretsmanager e exigir que os segredos sejam criptografados com uma chave gerenciada pelo cliente. Para ter mais informações, consulte Exemplo: negar uma chave do AWS KMS específica para criptografar segredos.

Para localizar a chave do KMS associada a um segredo, visualize o segredo no console ou chame ListSecrets ou DescribeSecret. Quando o segredo é associado à Chave gerenciada pela AWS do Secrets Manager (aws/secretsmanager), essas operações não retornam um identificador de chave do KMS.

O que é criptografado?

O Secrets Manager criptografa o valor do segredo, mas não criptografa o seguinte:

Processos de criptografia e descriptografia

Para criptografar o valor de um segredo, o Secrets Manager usa o processo descrito a seguir.

Para descriptografar um valor do segredo criptografado:

Permissões para a chave do KMS

Quando o Secrets Manager usa uma chave do KMS em operações de criptografia, ele atua em nome do usuário que está acessando ou atualizando o valor do segredo. É possível conceder permissões em uma política do IAM ou em uma política de chave. As seguintes operações do Secrets Manager exigem permissões do AWS KMS.

Para permitir que a chave do KMS seja usada apenas para solicitações provenientes do Secrets Manager, use a chave de condição kms:ViaService com o valor secretsmanager.<Region>.amazonaws.com na política de permissões.

Também é possível usar as chaves ou valores no contexto de criptografia como condição para usar a chave do KMS em operações de criptografia. Por exemplo, você pode usar um operador de condição de string em um IAM ou documento de política de chaves ou usar uma restrição de concessão em uma concessão. A propagação da concessão da chave do KMS pode demorar até cinco minutos. Para obter mais informações, consulte CreateGrant.

Como o Secrets Manager usa a chave do KMS

O Secrets Manager chama as seguintes operações do AWS KMS com sua chave do KMS.

Política de chaves da Chave gerenciada pela AWS (aws/secretsmanager)

A política de chaves da Chave gerenciada pela AWS do Secrets Manager (aws/secretsmanager) concede aos usuários permissão para usar a chave do KMS para operações especificadas somente quando o Secrets Manager faz a solicitação em nome do usuário. A política de chaves não permite que qualquer usuário utilize a chave do KMS diretamente.

Essa política de chaves, como as políticas de todas as Chaves gerenciadas pela AWS, é estabelecida pelo serviço. Não é possível alterar a política de chaves, mas é possível visualizá-la a qualquer momento. Para obter mais detalhes, consulte Visualizar uma política de chaves.

As declarações de política na política de chaves têm os seguintes efeitos:

Veja a seguir uma política de chaves para um exemplo de Chave gerenciada pela AWS do Secrets Manager.

{
  "Id": "auto-secretsmanager-2",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:CreateGrant",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333",
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": "kms:GenerateDataKey*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow direct access to key metadata to the account",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root"
        ]
      },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Contexto de criptografia do Secrets Manager

Um contexto de criptografia é um conjunto de pares de chave-valor que contêm dados arbitrários não secretos. Quando você inclui um contexto de criptografia em uma solicitação para criptografar dados, o AWS KMS vincula de forma criptográfica o contexto de criptografia aos dados criptografados. Para descriptografar os dados, você deve passar o mesmo contexto de criptografia.

Nas solicitações GenerateDataKey e Decrypt para o AWS KMS, o Secrets Manager usa um contexto de criptografia com dois pares de nome e valor que identificam o segredo e sua versão, como mostrado no exemplo a seguir. Os nomes não variam, mas os valores de contexto de criptografia combinados serão diferentes para cada valor de segredo.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "EXAMPLE1-90ab-cdef-fedc-ba987SECRET1"
}

É possível usar o contexto de criptografia para identificar essas operações de criptografia em logs e registros de auditoria, como AWS CloudTrail e o Amazon CloudWatch Logs, e como uma condição para a autorização em políticas e concessões.

O contexto de criptografia do Secrets Manager consiste em dois pares de nome e valor.

Quando você estabelece ou altera a chave do KMS de um segredo, o Secrets Manager envia solicitações GenerateDataKey e Decrypt para o AWS KMS para confirmar que o autor da chamada tem permissão para usar a chave do KMS para essas operações. Ele descarta as respostas; não as usa no valor do segredo.

Nessas solicitações de validação, o valor do SecretARN é o ARN real do segredo, mas o valor SecretVersionId é RequestToValidateKeyAccess, como mostrado no seguinte exemplo de contexto de criptografia. Esse valor especial ajuda você a identificar solicitações de validação em logs e trilhas de auditoria.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "RequestToValidateKeyAccess"
}

Monitorar a interação do Secrets Manager com o AWS KMS

Você pode usar o AWS CloudTrail e o Amazon CloudWatch Logs para rastrear as solicitações que o Secrets Manager envia para o AWS KMS em seu nome. Para obter mais informações sobre o monitoramento do uso de segredos, consulte Monitorar segredos do AWS Secrets Manager.