Rotasi terkelola untuk AWS Secrets Manager rahasia

Beberapa layanan menawarkan rotasi terkelola, di mana layanan mengkonfigurasi dan mengelola rotasi untuk Anda. Dengan rotasi terkelola, Anda tidak menggunakan AWS Lambda fungsi untuk memperbarui rahasia dan kredensyal dalam database.

Layanan berikut menawarkan rotasi terkelola:

• Amazon Aurora menawarkan rotasi terkelola untuk kredensyal pengguna master. Untuk informasi selengkapnya, lihat Manajemen kata sandi dengan Amazon Aurora dan AWS Secrets Manager di Panduan Pengguna Amazon Aurora.

• Amazon ECS Service Connect menawarkan rotasi terkelola untuk sertifikat AWS Private Certificate Authority TLS. Untuk informasi selengkapnya, lihat TLS dengan Service Connect di Panduan Pengembang Layanan Amazon Elastic Container.

• Amazon RDS menawarkan rotasi terkelola untuk kredensyal pengguna master. Untuk informasi selengkapnya, lihat Manajemen kata sandi dengan Amazon RDS dan AWS Secrets Manager di Panduan Pengguna Amazon RDS.

• Amazon Redshift menawarkan rotasi terkelola untuk kata sandi admin. Untuk informasi selengkapnya, lihat Mengelola kata sandi admin Amazon Redshift menggunakan AWS Secrets Manager dalam Panduan Manajemen Amazon Redshift.

Tip

Untuk semua jenis rahasia lainnya, lihatRotasi oleh fungsi Lambda.

Rotasi untuk rahasia terkelola biasanya selesai dalam satu menit. Selama rotasi, koneksi baru yang mengambil rahasia mungkin mendapatkan versi kredensyal sebelumnya. Dalam aplikasi, kami sangat menyarankan agar Anda mengikuti praktik terbaik menggunakan pengguna database yang dibuat dengan hak istimewa minimal yang diperlukan untuk aplikasi Anda, daripada menggunakan pengguna utama. Untuk pengguna aplikasi, untuk ketersediaan tertinggi, Anda dapat menggunakan strategi rotasi pengguna Alternating.

Untuk mengubah jadwal rotasi terkelola

1. Buka rahasia terkelola di konsol Secrets Manager. Anda dapat mengikuti tautan dari layanan pengelolaan, atau mencari rahasia di konsol Secrets Manager.

2. Di bawah Jadwal rotasi, masukkan jadwal Anda di zona waktu UTC baik di pembuat ekspresi Jadwal atau sebagai ekspresi Jadwal. Secrets Manager menyimpan jadwal Anda sebagai cron() ekspresi rate() atau. Jendela rotasi secara otomatis dimulai pada tengah malam kecuali Anda menentukan waktu Mulai. Anda dapat memutar rahasia sesering setiap empat jam. Untuk informasi selengkapnya, lihat Jadwal rotasi.

3. (Opsional) Untuk durasi Jendela, pilih panjang jendela di mana Anda ingin Secrets Manager memutar rahasia Anda, 3h misalnya untuk jendela tiga jam. Jendela tidak boleh meluas ke jendela rotasi berikutnya. Jika Anda tidak menentukan Durasi jendela, untuk jadwal rotasi dalam jam, jendela akan ditutup secara otomatis setelah satu jam. Untuk jadwal rotasi dalam beberapa hari, jendela secara otomatis ditutup pada akhir hari.

4. Pilih Simpan.

Untuk mengubah jadwal rotasi terkelola (AWS CLI)

• Panggil rotate-secret. Contoh berikut memutar rahasia antara pukul 16:00 dan 18:00 UTC pada hari pertama dan ke-15 setiap bulan. Untuk informasi selengkapnya, lihat Jadwal rotasi.

  aws secretsmanager rotate-secret \
      --secret-id MySecret \
      --rotation-rules "{\"ScheduleExpression\": \"cron(0 16 1,15 * ? *)\", \"Duration\": \"2h\"}"