c6.6 Guarda las credenciales de la aplicación en Secrets Manager

Nunca incrustes los secretos de la app

Las aplicaciones de IA acumulan credenciales: claves de API de modelos de terceros, contraseñas de bases de datos, secretos de cliente OAuth, claves de firma de webhooks. En el momento en que cualquiera de estas se pega en el código, en una variable de entorno de un script de build o en una capa de imagen de contenedor, se convierte en algo que no puedes rotar de forma limpia, auditar con precisión ni revocar sin un redespliegue, y puede filtrarse por la salida de tu propio modelo o por los logs. AWS Secrets Manager las almacena cifradas con KMS, las rota según un calendario, audita cada lectura en CloudTrail y entrega el valor a tu carga de trabajo en runtime mediante una llamada de API autenticada por IAM.

Almacena el secreto, cifrado con tu clave

Crea el secreto cifrado con una clave administrada por el cliente para controlar tanto el acceso a la clave como al secreto:

aws secretsmanager create-secret \
  --name "prod/ai-app/model-provider-api-key" \
  --description "Third-party model API key for the AI app" \
  --secret-string '{"apiKey":"REPLACE_ME"}' \
  --kms-key-id "arn:aws:kms:us-east-1:111122223333:key/<key-id>"

Recupéralo en runtime, nunca en tiempo de build

La aplicación obtiene el secreto cuando se ejecuta, usando su rol de IAM: el valor nunca queda incrustado en la imagen ni en la configuración:

aws secretsmanager get-secret-value \
  --secret-id "prod/ai-app/model-provider-api-key" \
  --query SecretString --output text

Acota el permiso secretsmanager:GetSecretValue del rol de la app a este ARN de secreto específico, y añade una política de recurso en el secreto para que solo ese rol pueda leerlo.

Activa la rotación

Un secreto que nunca cambia es un riesgo permanente. Habilita la rotación automática para que un valor filtrado tenga una vida limitada:

aws secretsmanager rotate-secret \
  --secret-id "prod/ai-app/model-provider-api-key" \
  --rotation-rules '{"AutomaticallyAfterDays": 30}' \
  --rotation-lambda-arn "arn:aws:lambda:us-east-1:111122223333:function:RotateModelApiKey"

Para credenciales nativas de AWS (como RDS), Secrets Manager ofrece rotación administrada; para claves de API de terceros, tú aportas una pequeña Lambda de rotación que llama a la API de rotación de claves del proveedor.

Nota de nomenclatura: usa un nombre de secreto claro tipo ruta (env/app/proposito), una clave de KMS administrada por el cliente, y acota tanto la política de IAM como la política de recurso del secreto al único rol de la app. Reemplaza los ARN de la clave y de la Lambda.