Realizando Rotação de Credenciais de Contas de Serviço

Visão Geral

Contas de serviço são identidades não humanas usadas por aplicações, daemons, pipelines de CI/CD e processos automatizados para se autenticar em sistemas e APIs. Essas contas frequentemente possuem privilégios elevados e suas credenciais (senhas, chaves de API, certificados, tokens) são muitas vezes de longa duração e compartilhadas entre equipes, tornando-as alvos primários para atacantes. A rotação de credenciais é o processo sistemático de substituir esses segredos em uma base programada, propagando novas credenciais para todos os sistemas dependentes e verificando a continuidade do serviço após a rotação.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a rotação de credenciais de contas de serviço
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar atividades programadas de testes de segurança ou auditoria
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Inventário de todas as contas de serviço em AD, nuvem e aplicações
• Plataforma de gerenciamento de segredos (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault ou CyberArk)
• Mapeamento de dependência de serviços (quais serviços usam quais credenciais)
• Processo de gerenciamento de mudanças para janelas de rotação
• Monitoramento da saúde do serviço pós-rotação

Conceitos Principais

Tipos de Contas de Serviço

Contas de Serviço Gerenciadas de Grupo (gMSA)

As gMSAs do Windows fornecem gerenciamento automático de senhas pelo Active Directory:

• O AD rotaciona automaticamente a senha a cada 30 dias
• A senha tem 240 bytes, criptograficamente aleatória
• Múltiplos servidores podem usar a mesma gMSA simultaneamente
• Nenhum administrador conhece ou gerencia a senha
• Elimina a rotação manual para serviços Windows

Arquitetura de Rotação

Secrets Manager / Vault
        │
        ├── Rotation Trigger (schedule or on-demand)
        │
        ├── Generate new credential
        │
        ├── Update credential at source (AD, cloud IAM, database)
        │
        ├── Update credential in all consumers:
        │   ├── Application configuration
        │   ├── CI/CD pipeline secrets
        │   ├── Kubernetes secrets
        │   └── Other dependent services
        │
        ├── Verify service health
        │   ├── Health check endpoints
        │   ├── Authentication test
        │   └── Functional smoke test
        │
        └── Revoke old credential (after grace period)

Fluxo de Trabalho

Etapa 1: Descobrir e Inventariar Contas de Serviço

Enumere todas as contas de serviço e suas dependências:

# Active Directory: Find all service accounts
Get-ADServiceAccount -Filter * -Properties *
Get-ADUser -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName,PasswordLastSet,LastLogonDate

# Find accounts with passwords older than 90 days
$threshold = (Get-Date).AddDays(-90)
Get-ADUser -Filter {PasswordLastSet -lt $threshold -and Enabled -eq $true} -Properties PasswordLastSet,ServicePrincipalName |
    Where-Object {$_.ServicePrincipalName} |
    Select-Object Name, PasswordLastSet, ServicePrincipalName

Etapa 2: Implementar gMSA para Serviços Windows

# Create KDS Root Key (one-time, domain-wide)
Add-KdsRootKey -EffectiveImmediately

# Create the gMSA account
New-ADServiceAccount -Name "svc-webapp-gmsa" `
    -DNSHostName "svc-webapp-gmsa.corp.example.com" `
    -PrincipalsAllowedToRetrieveManagedPassword "WebServerGroup" `
    -KerberosEncryptionType AES128,AES256

# Install on target server
Install-ADServiceAccount -Identity "svc-webapp-gmsa"

# Test the account
Test-ADServiceAccount -Identity "svc-webapp-gmsa"

# Configure IIS Application Pool to use gMSA
# Set identity to: CORP\svc-webapp-gmsa$

Etapa 3: Rotação de Chave de Acesso da AWS com Secrets Manager

import boto3
import json

def rotate_iam_access_key(secret_arn, iam_username):

…