AWS Secrets Manager

Armazene, gerencie e gire segredos de forma segura na AWS.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Armazenar credenciais de banco de dados, chaves de API ou tokens na AWS
• Implementar rotação automática de credenciais para RDS ou outros serviços
• Substituir segredos codificados em código de aplicação ou arquivos de configuração
• Integrar segredos em cargas de trabalho ECS, EKS ou Lambda
• Atender a requisitos de conformidade para gerenciamento e rotação de segredos

Pré-requisitos

• Conta AWS com permissões IAM apropriadas
• AWS CLI v2 instalado e configurado
• Política IAM permitindo ações secretsmanager:* (ou permissões com escopo)
• Para rotação: função de execução Lambda e acesso VPC aos serviços de destino
• Python 3.9+ com boto3 para exemplos de SDK

Criação e Gerenciamento de Segredos

# Create a secret with JSON structure
aws secretsmanager create-secret \
  --name myapp/production/database \
  --description "Production database credentials" \
  --secret-string '{"username":"dbadmin","password":"S3cur3P@ssw0rd!","engine":"postgres","host":"db.internal.example.com","port":5432,"dbname":"myapp"}' \
  --tags '[{"Key":"Environment","Value":"production"},{"Key":"Team","Value":"platform"}]'

# Create a secret with KMS encryption (custom key)
aws secretsmanager create-secret \
  --name myapp/production/api-key \
  --description "Third-party API key" \
  --secret-string "ak_live_xxxxxxxxxxxx" \
  --kms-key-id alias/secrets-key

# Create a binary secret (certificates, keys)
aws secretsmanager create-secret \
  --name myapp/production/tls-cert \
  --secret-binary fileb://server.pfx

# Get secret value
aws secretsmanager get-secret-value \
  --secret-id myapp/production/database \
  --query 'SecretString' --output text | jq .

# Get a specific version
aws secretsmanager get-secret-value \
  --secret-id myapp/production/database \
  --version-stage AWSPREVIOUS

# Update secret value
aws secretsmanager put-secret-value \
  --secret-id myapp/production/database \
  --secret-string '{"username":"dbadmin","password":"N3wS3cur3P@ss!","engine":"postgres","host":"db.internal.example.com","port":5432,"dbname":"myapp"}'

# List all secrets
aws secretsmanager list-secrets \
  --filters Key=name,Values=myapp/production

# Delete secret (with recovery window)
aws secretsmanager delete-secret \
  --secret-id myapp/production/old-key \
  --recovery-window-in-days 7

# Restore a deleted secret
aws secretsmanager restore-secret \
  --secret-id myapp/production/old-key

# Tag a secret
aws secretsmanager tag-resource \
  --secret-id myapp/production/database \
  --tags '[{"Key":"RotationEnabled","Value":"true"}]'

Rotação Automática

Habilitar Rotação

# Enable rotation with an existing Lambda function
aws secretsmanager rotate-secret \
  --secret-id myapp/production/database \
  --rotation-lambda-arn arn:aws:lambda:us-east-1:123456789012:function:SecretsManagerRDSPostgreSQLRotation \
  --rotation-rules '{"AutomaticallyAfterDays":30,"ScheduleExpression":"rate(30 days)"}'

# Trigger immediate rotation
aws secretsmanager rotate-secret \
  --secret-id myapp/production/database

# Check rotation status
aws secretsmanager describe-secret \
  --secret-id myapp/production/database \
  --query '{RotationEnabled:RotationEnabled,RotationLambdaARN:RotationLambdaARN,RotationRules:RotationRules,LastRotatedDate:LastRotatedDate}'

Função Lambda de Rotação

"""rotation_function.py - Lambda de rotação personalizada para credenciais de banco de dados."""

import boto3
import json
import logging
import psycopg2

logger = logging.getLogger()
logger.setLevel(logging.INFO)

def lambda_handler(event, context):
    """Manipulador de rotação do Secrets Manager.

    O processo de rotação tem quatro etapas:
    1. createSecret - Gerar novo valor secreto
    2. setSecret - Aplicar o novo segredo ao serviço de destino
    3. testSecret - Verificar se o novo segredo funciona
    4. finishSecret - Marcar a rotação como concluída
    """
    secret_arn = event['SecretId']
    token = event['ClientRequestToken']
    step = event['Step']

    client = boto3.client('secretsmanager')

    metadata = client.describe_secret(SecretId=secret_arn)
    if not metadata.get('RotationEnabled'):
        raise ValueError(f"O segredo {secret_arn} não tem rotação habilitada")

    versions = metadata.get('VersionIdsToStages', {})
    if token not in versions:
        raise ValueError(f"A versão do segredo {token} não tem estágio para rotação")

    if step == "createSecret":
        create_secret(client, secret_arn, token)

…