c2.6 Usar credenciais temporárias em vez de access keys
Usuários IAM e access keys de longa duração são credenciais duráveis que permanecem válidas até alguém as rotacionar. Prefira roles IAM, que entregam credenciais de curta duração com expiração automática, e reserve o AWS Secrets Manager para os segredos que você realmente precisa armazenar.
Guia de implementação
Prefira roles a keys de longa duração
Usuários IAM e access keys são credenciais de longo prazo: permanecem válidas até alguém as rotacionar, e um ex-funcionário ou uma key vazada pode continuar funcionando sem que ninguém note. Use roles IAM em vez disso: elas emitem credenciais temporárias com expiração.
- Cargas no EC2: anexe um instance profile para que a aplicação use credenciais de role, nunca keys embarcadas.
- Funções Lambda: use uma role de execução.
- Tarefas do Amazon ECS: use uma role de tarefa.
- Acesso humano: federe com o IAM Identity Center para que as pessoas obtenham credenciais temporárias do seu provedor de identidade.
Para os segredos que precisa armazenar, use o Secrets Manager
Quando uma aplicação realmente precisa de um segredo (uma senha de banco de dados, uma API key de terceiros), armazene-o no AWS Secrets Manager e recupere-o em tempo de execução em vez de codificá-lo. O Secrets Manager pode rotacionar automaticamente os segredos compatíveis.
Como se encaixa
Como validar
- Que proporção das suas aplicações usa roles (instance profiles, roles de execução de Lambda/ECS) em vez de access keys duráveis?
- Os desenvolvedores são treinados para não armazenar segredos no código?
- Você impede que segredos sejam enviados ao código (varredura, verificações pre-commit)?
- Você usa o AWS Secrets Manager para armazenar e rotacionar segredos como senhas de banco de dados?
Ameaças atendidas
- Access keys compartilhadas por e-mail ou chat, ou deixadas com um ex-funcionário, podem ser usadas muito depois de deverem ter sido revogadas.
- Keys enviadas ao controle de código são copiadas por qualquer um com acesso de leitura e os adversários as rastreiam ativamente em repositórios públicos.
- Keys hardcoded são difíceis de rotacionar rapidamente, o que é crítico durante um comprometimento conhecido.
Serviços AWS
AWS IAM 
AWS Secrets Manager 
AWS IAM Identity Center Preços
O AWS Secrets Manager custa US$ 0,40 por segredo por mês mais US$ 0,05 por 10.000 chamadas de API, com um teste gratuito de 30 dias. Consulte os preços do Secrets Manager.