58 lines
3.1 KiB
Markdown
58 lines
3.1 KiB
Markdown
---
|
||
title: "CTP Topic 62 AWS Secrets Manager"
|
||
type: source
|
||
tags:
|
||
- AWS
|
||
- Secrets-Manager
|
||
- Security
|
||
- CTP
|
||
- Cloud-Transformation
|
||
date: 2026-04-14
|
||
---
|
||
|
||
## Source File
|
||
- [[Cloud & DevOps/Public-Cloud-Learning-Sessions/07_Security/ctp-topic-62-aws-secrets-manager.md]]
|
||
|
||
## Summary（用中文描述）
|
||
- 核心主题：AWS Secrets Manager 在企业云转型项目中的实施与标准化
|
||
- 问题域：如何在多账户、多团队的企业环境中集中管理 Secrets，实现安全的密码轮换
|
||
- 方法/机制：采用渐进式方法：集中 Secrets → 调整自动化工具 → 启动自动轮换；通过 Lambda 函数配合 JDBC Wrapper 实现无密码数据库访问
|
||
- 结论/价值：AWS Secrets Manager 相较 HashiCorp Vault 成本更低、实现更简单，无需客户端；与 Control Tower 集成可实现企业级 Secrets 管理标准化
|
||
|
||
## Key Claims（用中文描述）
|
||
- AWS Secrets Manager 被选为 Secrets 管理平台，相比 HashiCorp Vault 更具成本效益
|
||
- 三阶段实施方法：集中 Secrets → 调整自动化获取流程 → 启动轮换机制
|
||
- 开发者无需直接访问 Secrets，通过角色和 AWS 凭证授权
|
||
- Lambda 函数可连接 Oracle 数据库执行密码轮换，无需通过邮件发送密码
|
||
- SendGrid API Key 轮换可通过集中式 SMTP 服务实现，无需应用重启
|
||
|
||
## Key Quotes
|
||
> "AWS Secrets Manager is easy and simple to implement." — Nurit & Daniel, 实施经验总结
|
||
> "With that idea, developers actually do not need to have direct access to their Secrets." — Secrets Management 标准化文档核心理念
|
||
> "AWS Secrets Manager does not require clients, unlike HashiCorp Vault." — 技术对比结论
|
||
|
||
## Key Concepts
|
||
- [[SecretsManagement]]：在云环境中集中存储、管理、安全轮换敏感凭据（密码、API Key、证书）的实践
|
||
- [[SecretRotation]]：定期自动更换 Secrets 的机制，防止长期密钥泄露风险
|
||
- [[JDBCWrapper]]：通过 JDBC 包装器配合 AWS SDK 从 Secrets Manager 动态获取数据库凭据，无需硬编码密码
|
||
- [[ControlTower]]：AWS Control Tower 提供多账户治理和合规性管理
|
||
|
||
## Key Entities
|
||
- [[Nurit]]：演讲者，AWS Secrets Manager 实施经验分享
|
||
- [[Daniel]]：演讲者，AWS Secrets Management Standard 文档负责人
|
||
- [[Victor]]：现场演示无需密码的 Oracle 数据库登录
|
||
- [[HashiCorpVault]]：AWS Secrets Manager 的替代方案，POC 阶段被否决
|
||
- [[AWSControlTower]]：多账户 AWS 环境治理平台
|
||
- [[SendGrid]]：邮件服务提供商，API Key 轮换是实施机会之一
|
||
|
||
## Connections
|
||
- [[CTP-Topic-37-Secrets-Certificates-Management]] ← related_to ← [[CTP-Topic-62-AWS-Secrets-Manager]]
|
||
- [[AWS-Control-Tower]] ← centralizes ← [[Secrets-Management]]
|
||
- [[CTP-Topic-36-SendGrid-as-an-Email-Service]] ← relates_to ← [[SendGrid-API-Rotation]]
|
||
|
||
## Contradictions
|
||
- 与 [[HashiCorp-Vault]] 对比：
|
||
- 冲突点：两种 Secrets 管理方案的选型
|
||
- 当前观点：AWS Secrets Manager 被选中，因其成本更低、实现更简单
|
||
- 对方观点：HashiCorp Vault 在 POC 阶段被评估，但因成本原因未被采用
|