c2.21 Manter os segredos fora do código

Não codifique segredos

Um segredo no código pode ser lido por qualquer um com acesso ao repositório, vaza facilmente para repositórios públicos e é difícil de rotacionar. Se o segredo codificado for uma access key, prefira credenciais temporárias via roles.

Obtenha segredos de longa duração em tempo de execução

Quando o seu código precisa de um segredo genuíno de longa duração (uma senha de banco de dados, uma API key de terceiros), armazene-o no AWS Secrets Manager e recupere-o em tempo de execução. Conceda à carga permissão para ler o segredo por meio da sua role IAM (instance profile, role de execução de Lambda/ECS), de modo que não haja credenciais embarcadas no código. O Secrets Manager pode rotacionar automaticamente os segredos compatíveis; veja as boas práticas.

Capture os segredos antes que cheguem à produção

Escaneie o código em busca de segredos enviados com ferramentas como o git-secrets, e integre o escaneamento de segredos ao seu pipeline para que um segredo detectado bloqueie a promoção. O Amazon Q Developer também sinaliza segredos enquanto o código é escrito.

Busque em runtime, escaneie antes do commit

Recupere o segredo em tempo de execução em vez de codificá-lo:

aws secretsmanager get-secret-value \
  --secret-id prod/db/password \
  --query SecretString --output text

Adicione um scan do repositório para que um segredo commitado bloqueie o pipeline:

git secrets --install
git secrets --register-aws
git secrets --scan