c2.21 シークレットをコードの外に保つ

シークレットをハードコードしない

コード中のシークレットは、リポジトリにアクセスできる誰もが読め、公開リポジトリに簡単に漏れ、ローテーションも困難です。ハードコードされたシークレットがアクセスキーなら、代わりにロールによる一時的な認証情報を優先してください。

長期のシークレットは実行時に取得する

コードが本物の長期シークレット（データベースのパスワード、サードパーティの API キーなど）を必要とする場合は、AWS Secrets Manager に保存し、実行時に取得します。ワークロードには IAM ロール（インスタンスプロファイル、Lambda/ECS の実行ロール）を通じてシークレットの読み取り権限を与え、コードにクレデンシャルを埋め込まないようにします。Secrets Manager は対応するシークレットを自動でローテーションできます。ベストプラクティスを参照してください。

出荷前にシークレットを捕捉する

git-secrets などのツールでコミットされたシークレットをスキャンし、シークレットスキャンをパイプラインに組み込んで、検出されたシークレットが昇格をブロックするようにします。Amazon Q Developer もコード記述中にシークレットを指摘します。

実行時に取得し、コミット前にスキャンする

ハードコードせず、実行時にシークレットを取得します:

aws secretsmanager get-secret-value \
  --secret-id prod/db/password \
  --query SecretString --output text

コミットされたシークレットがパイプラインをブロックするよう、リポジトリのスキャンを追加します:

git secrets --install
git secrets --register-aws
git secrets --scan