Twilio Chiave API

Campi con valori segreti

Di seguito sono riportati i campi che devono essere contenuti nel segreto di Secrets Manager:

{
  "accountSid": "AC followed by 32 hexadecimal characters",
  "apiKeySid": "SK followed by 32 hexadecimal characters",
  "apiKeySecret": "API key secret",
  "validationUrl": "https://api.twilio.com/2010-04-01/Accounts/ACxxxx/Messages.json?PageSize=1"
}

ID account

Il SID Twilio dell'account o del subaccount che possiede la chiave API.

api KeySid

Il SID della chiave API corrente. Sono supportate sia le chiavi standard che quelle con restrizioni.

api KeySecret

Il segreto abbinato al SID della chiave API corrente. Secrets Manager ruota questo campo insieme apiKeySid a.

URL di convalida

(Facoltativo) Un URL Twilio API di sola lettura che Secrets Manager chiama per confermare il funzionamento della nuova chiave. L'URL deve utilizzare HTTPS e un twilio.com host.

Questo campo è obbligatorio per una chiave con restrizioni. Una chiave con restrizioni può chiamare solo gli endpoint consentiti dalla sua politica, quindi fornisci un endpoint che sai che la politica consente. Per una chiave Standard, Secrets Manager deriva un endpoint predefinito.

Campi di metadati segreti

Di seguito sono riportati i campi di metadati per Twilio API Key:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:TwilioMainApiKey",
  "retainPreviousKey": "false",
  "friendlyNamePrefix": "aws-sm-api-key"
}

admin SecretArn

L'Amazon Resource Name (ARN) del segreto che contiene le credenziali di amministratore. Usa un segreto di tipo TwilioMainApiKey o un segreto di tipo. TwilioAuthToken

conservare PreviousKey

(Facoltativo) Se la chiave precedente rimane attiva dopo la promozione. Impostazione predefinita: false, che elimina immediatamente la chiave precedente. Imposta questo campo su true per mantenere la chiave precedente utilizzabile per un ciclo di rotazione, in modo che le applicazioni possano aggiornare le credenziali memorizzate nella cache.

amichevole NamePrefix

(Facoltativo) Il prefisso per il nome descrittivo di ogni chiave sostitutiva. Default: aws-sm-api-key.

Flusso di utilizzo

Questa rotazione utilizza un'architettura a due segreti. Una chiave Twilio API non può ruotare da sola, perché gli endpoint di gestione delle Twilio chiavi rifiutano l'autenticazione delle chiavi API. Un segreto amministrativo fornisce quindi la credenziale che crea ed elimina le chiavi.

È possibile creare il proprio segreto utilizzando la CreateSecretchiamata con il valore segreto contenente i campi sopra menzionati e il tipo segreto as. TwilioApiKey Le configurazioni di rotazione possono essere impostate utilizzando una RotateSecretchiamata. È necessario fornire i adminSecretArn metadati di rotazione. È inoltre necessario fornire un ruolo ARN nella RotateSecretchiamata che conceda al servizio le autorizzazioni necessarie per ruotare il segreto. Per un esempio di politica di autorizzazioni, vedi Sicurezza e autorizzazioni.

Il tipo di segreto dell'amministratore (TwilioMainApiKeyoTwilioAuthToken) è diverso dal tipo di segreto dell'utente (). TwilioApiKey A causa di questa differenza, la politica predefinita del ruolo di rotazione prevista secretsmanager:resource/Type non concede l'accesso al segreto dell'amministratore. È necessario fornire esplicitamente al ruolo di rotazione l'accesso al segreto dell'amministratore. È possibile farlo aggiungendo un'istruzione che si riferisce al tipo di segreto dell'amministratore. In alternativa, specifica il segreto dell'amministratore ARN direttamente nella politica del ruolo.

Durante la rotazione, Secrets Manager legge il tipo e la politica della chiave corrente. Crea una chiave sostitutiva con lo stesso tipo e la stessa politica e archivia la chiave sostitutiva come AWSPENDING. Conferma che la nuova chiave viene autenticata rispetto all'endpoint di convalida. Quindi elimina la chiave precedente e promuove AWSPENDING in AWSCURRENT. Se impostate su retainPreviousKey true, Secrets Manager mantiene la chiave precedente e la elimina durante la rotazione successiva.

Ogni chiave sostitutiva eredita il tipo e la politica della chiave che sostituisce, quindi una chiave con restrizioni rimane limitata con le stesse autorizzazioni. La rotazione fallisce invece di creare una chiave con privilegi diversi quando Secrets Manager non è in grado di leggere il tipo o la politica della chiave corrente.