c6.6 Guarde as credenciais da aplicação no Secrets Manager

Nunca embuta os segredos da app

As aplicações de IA acumulam credenciais: chaves de API de modelos de terceiros, senhas de bancos de dados, segredos de cliente OAuth, chaves de assinatura de webhooks. No momento em que qualquer uma delas é colada no código, em uma variável de ambiente de um script de build ou em uma camada de imagem de contêiner, ela se torna algo que você não pode rotacionar de forma limpa, auditar com precisão nem revogar sem um redeploy — e pode vazar pela saída do seu próprio modelo ou pelos logs. O AWS Secrets Manager as armazena criptografadas com o KMS, as rotaciona em um cronograma, audita cada leitura no CloudTrail e entrega o valor à sua carga de trabalho em runtime por meio de uma chamada de API autenticada por IAM.

Armazene o segredo, criptografado com sua chave

Crie o segredo criptografado com uma chave gerenciada pelo cliente para controlar tanto o acesso à chave quanto ao segredo:

aws secretsmanager create-secret \
  --name "prod/ai-app/model-provider-api-key" \
  --description "Third-party model API key for the AI app" \
  --secret-string '{"apiKey":"REPLACE_ME"}' \
  --kms-key-id "arn:aws:kms:us-east-1:111122223333:key/<key-id>"

Recupere-o em runtime, nunca em tempo de build

A aplicação obtém o segredo quando é executada, usando sua função do IAM — o valor nunca fica embutido na imagem nem na configuração:

aws secretsmanager get-secret-value \
  --secret-id "prod/ai-app/model-provider-api-key" \
  --query SecretString --output text

Restrinja a permissão secretsmanager:GetSecretValue da função da app a este ARN de segredo específico, e adicione uma política de recurso no segredo para que apenas essa função possa lê-lo.

Ative a rotação

Um segredo que nunca muda é um risco permanente. Habilite a rotação automática para que um valor vazado tenha vida limitada:

aws secretsmanager rotate-secret \
  --secret-id "prod/ai-app/model-provider-api-key" \
  --rotation-rules '{"AutomaticallyAfterDays": 30}' \
  --rotation-lambda-arn "arn:aws:lambda:us-east-1:111122223333:function:RotateModelApiKey"

Para credenciais nativas da AWS (como RDS), o Secrets Manager oferece rotação gerenciada; para chaves de API de terceiros, você fornece uma pequena Lambda de rotação que chama a API de rotação de chaves do provedor.

Nota de nomenclatura: use um nome de segredo claro em estilo de caminho (env/app/proposito), uma chave do KMS gerenciada pelo cliente, e restrinja tanto a política do IAM quanto a política de recurso do segredo à única função da app. Substitua os ARNs da chave e da Lambda.