Armazenando segredos com segurança

Senhas de banco de dados, API keys de terceiros, tokens de webhook, certificados… Aplicações precisam desses valores em runtime. A pergunta é: onde guardar?

• Hardcoded no código — vai parar em Git, screenshot, log.
• Em variáveis de ambiente em texto claro (ex.: Environment de Lambda sem KMS) — fica visível no console e CloudTrail.
• Em arquivos .env commitados — o vetor clássico de vazamento público.
• Em buckets S3 "privados" sem criptografia — um bucket policy frouxa e acabou.

AWS Secrets Manager é o serviço dedicado a segredos. Principais benefícios:

• Criptografia em repouso com KMS.
• Rotação automática para RDS, Redshift, DocumentDB — a AWS troca a senha pra você.
• Auditoria completa via CloudTrail: toda leitura de segredo fica registrada.
• Integração nativa com ECS, Lambda, EKS (via CSI driver).

Sua aplicação lê o segredo com o SDK:

1
2
3

const { SecretsManagerClient, GetSecretValueCommand } = require("@aws-sdk/client-secrets-manager");
const r = await client.send(new GetSecretValueCommand({ SecretId: "prod/db/password" }));
const senha = r.SecretString;

Parameter Store é o primo mais barato. Serve para configurações (string, stringList) e segredos leves (tipo SecureString, criptografado com KMS).

Seu workload (Lambda, ECS, EC2) acessa via role. Policy mínima:

1
2
3
4
5

{
  "Effect": "Allow",
  "Action": "secretsmanager:GetSecretValue",
  "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:prod/db/password-*"
}

O -* no fim do ARN cobre o sufixo aleatório que o Secrets Manager adiciona para evitar colisão de nomes.

Nunca hardcode. Para segredos críticos (DB, API keys externas): Secrets Manager. Para configuração e flags: Parameter Store. Acesse sempre via role, nunca via access key embutida.

Esta lição está alinhada com a boa prática Store and use secrets securely do Well-Architected Framework.

• Ver boa prática no Well-Architected Framework

• AWS Secrets Manager User Guide
• Systems Manager Parameter Store
• Rotate AWS Secrets Manager secrets