Monitorar segredos do AWS Secrets Manager para conformidade usando o AWS Config

É possível usar o AWS Config para avaliar seus segredos para ver se eles estão em conformidade com seus padrões. Você define os requisitos internos de segurança e conformidade para segredos usando regras do AWS Config. Em seguida, o AWS Config pode identificar segredos que não estão em conformidade com suas regras. Você também pode rastrear alterações em metadados de segredos, a configuração de alternância, a chave KMS usada para criptografia de segredos, a função de alternância do Lambda e as tags associadas a um segredo.

É possível configurar o AWS Config para enviar notificações sobre as alterações. Para obter mais informações, consulte Notificações que o AWS Config envia para um tópico do Amazon SNS.

Se tiver segredos em várias Contas da AWS e Regiões da AWS em sua organização, é possível agregar esses dados de configuração e conformidade. Para obter mais informações, consulte Agregação de dados de várias contas e regiões.

Para avaliar se os segredos estão em conformidade

• Siga as instruções em Avaliação dos seus recursos com regras do AWS Config e escolha uma das regras a seguir:

  • secretsmanager-secret-unused: verifica se os segredos foram acessados dentro do número de dias especificado.

  • secretsmanager-using-cmk: verifica se os segredos são criptografados usando a Chave gerenciada pela AWS aws/secretsmanager ou uma chave gerenciada pelo cliente que você criou no AWS KMS.

  • secretsmanager-rotation-enabled-check: verifica se a alternância está configurada para segredos armazenados no Secrets Manager.

  • secretsmanager-scheduled-rotation-success-check: verifica se a última alternância bem-sucedida está dentro da frequência de alternância configurada. A frequência mínima para a verificação é diária.

  • secretsmanager-secret-periodic-rotation: verifica se os segredos foram alternados dentro do número de dias especificado.