Twilio API-Schlüssel

Geheime Wertfelder

Die folgenden Felder müssen im Secrets Manager Manager-Geheimnis enthalten sein:

{
  "accountSid": "AC followed by 32 hexadecimal characters",
  "apiKeySid": "SK followed by 32 hexadecimal characters",
  "apiKeySecret": "API key secret",
  "validationUrl": "https://api.twilio.com/2010-04-01/Accounts/ACxxxx/Messages.json?PageSize=1"
}

Konto-ID

Die Twilio Konto- oder Unterkonto-SID, der der API-Schlüssel gehört.

api KeySid

Die SID des aktuellen API-Schlüssels. Sowohl Standardschlüssel als auch eingeschränkte Schlüssel werden unterstützt.

api KeySecret

Das Geheimnis gepaart mit der aktuellen API-Schlüssel-SID. Secrets Manager dreht dieses Feld zusammen mitapiKeySid.

Validierungs-URL

(Optional) Eine schreibgeschützte Twilio API-URL, die Secrets Manager aufruft, um zu bestätigen, dass der neue Schlüssel funktioniert. Die URL muss HTTPS und einen twilio.com Host verwenden.

Dieses Feld ist für einen eingeschränkten Schlüssel erforderlich. Ein eingeschränkter Schlüssel kann nur die Endpunkte aufrufen, die seine Richtlinie zulässt. Geben Sie also einen Endpunkt an, von dem Sie wissen, dass die Richtlinie dies zulässt. Für einen Standardschlüssel leitet Secrets Manager einen Standardendpunkt ab.

Geheime Metadatenfelder

Im Folgenden sind die Metadatenfelder für den Twilio API-Schlüssel aufgeführt:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:TwilioMainApiKey",
  "retainPreviousKey": "false",
  "friendlyNamePrefix": "aws-sm-api-key"
}

admin SecretArn

Der Amazon-Ressourcenname (ARN) des Geheimnisses, das die Administratoranmeldeinformationen enthält. Verwenden Sie ein Geheimnis vom Typ TwilioMainApiKey oder ein Geheimnis vom Typ TwilioAuthToken.

behalten PreviousKey

(Optional) Gibt an, ob der vorherige Schlüssel auch nach der Beförderung aktiv bleibt. Standard: false, wodurch der vorherige Schlüssel sofort gelöscht wird. Setzen Sie dieses Feld auf true, damit der vorherige Schlüssel für einen Rotationszyklus verwendet werden kann, sodass Anwendungen zwischengespeicherte Anmeldeinformationen aktualisieren können.

freundlich NamePrefix

(Optional) Das Präfix für den Anzeigenamen jedes Ersatzschlüssels. Standard: aws-sm-api-key.

Ablauf der Nutzung

Diese Rotation verwendet eine Architektur mit zwei Geheimnissen. Ein Twilio API-Schlüssel kann sich nicht selbst rotieren, da die Twilio Schlüsselverwaltungsendpunkte die API-Schlüsselauthentifizierung ablehnen. Ein Administratorgeheimnis stellt daher die Anmeldeinformationen bereit, mit denen Schlüssel erstellt und gelöscht werden.

Sie können Ihr Geheimnis mithilfe des CreateSecretAufrufs mit dem geheimen Wert erstellen, der die oben genannten Felder und den Geheimtyp als enthält. TwilioApiKey Die Rotationskonfigurationen können mithilfe eines RotateSecretAnrufs festgelegt werden. Sie müssen die adminSecretArn in den Rotationsmetadaten angeben. Sie müssen in dem RotateSecretAnruf auch einen Rollen-ARN angeben, der dem Dienst die erforderlichen Berechtigungen für die Rotation des Secrets gewährt. Ein Beispiel für eine Berechtigungsrichtlinie finden Sie unter Sicherheit und Berechtigungen.

Der geheime Administratortyp (TwilioMainApiKeyoderTwilioAuthToken) unterscheidet sich vom Typ des Benutzergeheimnisses (TwilioApiKey). Aufgrund dieses Unterschieds gewährt die standardmäßige Rollenrotationsrichtlinie, für die der Geltungsbereich secretsmanager:resource/Type gilt, keinen Zugriff auf das Administratorgeheimnis. Sie müssen der Rotationsrolle ausdrücklich Zugriff auf das Administratorgeheimnis gewähren. Sie können dies tun, indem Sie eine Anweisung hinzufügen, die auf den geheimen Administratortyp beschränkt ist. Sie können den geheimen Administratorschlüssel auch ARN direkt in der Rollenrichtlinie angeben.

Während der Rotation liest Secrets Manager den Typ und die Richtlinie des aktuellen Schlüssels. Es erstellt einen Ersatzschlüssel, der denselben Typ und dieselbe Richtlinie hat, und speichert den Ersatzschlüssel als AWSPENDING. Es bestätigt, dass der neue Schlüssel anhand des Validierungsendpunkts authentifiziert wird. Anschließend wird der vorherige Schlüssel gelöscht und AWSPENDING auf AWSCURRENT heraufgestuft. Wenn Sie retainPreviousKey auf true setzen, behält Secrets Manager den vorherigen Schlüssel bei und löscht ihn bei der nächsten Rotation.

Jeder Ersatzschlüssel erbt den Typ und die Richtlinie des Schlüssels, den er ersetzt, sodass ein eingeschränkter Schlüssel mit den gleichen Berechtigungen weiterhin eingeschränkt bleibt. Anstatt einen Schlüssel mit anderen Rechten zu erstellen, schlägt die Rotation fehl, wenn Secrets Manager den Typ oder die Richtlinie des aktuellen Schlüssels nicht lesen kann.