如何在 AWS Secret Manager 中存儲 jks 證書

Question

我需要從我的 java 應用程序中安全地存儲和獲取 keystore.jks 和 truststore.jks 文件，以便與外部應用程序進行安全通信。

我們可以將這些文件存儲在 AWS Secret Manager 中嗎？

我無法找到適當的文檔來將 jks 證書作為機密存儲在 AWS 機密管理器中。

Answer 1

只要它們低於大小限制，您就可以將它們作為二進制機密存儲在 SecretsManager 中。 或者，您可以將它們存儲在使用 KMS CMK 加密的私有 S3 存儲桶中。

Since Java expects the truststore.jks and keystore.jks files to be present on the file system before the Java application starts up, you would need to script your docker container to download the files into the running container before starting your Java application, for example通過在 Docker 映像中包含和使用 AWS CLI 工具。

要授予您的 ECS 應用程序下載文件的權限，您需要為 ECS 任務分配適當的 IAM 權限。

Answer 2

您可以從 AWS Secret Manager 添加和檢索證書。 但這也取決於您的證書的大小。 在此處閱讀： AWS Secrets Manager 的配額

AWS Secrets Manager 的密鑰具有各種限制，例如字符長度 (65,536)。

閱讀文檔： 在 AWS Secrets Manager 中存儲證書

注意：您需要使用 HTTP 解析器/Lambda 解析器才能對 AWS Secrets Manager 進行 http 調用以獲取密鑰。