Claves y secretos en variables y plantillas

Las variables de entorno de una función se cifran en reposo, y esa frase tranquiliza a mucha gente. Lo que no dice es quién las ve: cualquiera que pueda leer la configuración de la función obtiene el valor en claro, y ese permiso de lectura suele estar repartido entre más identidades de las que el cliente imagina. La propia documentación del proveedor recomienda guardar credenciales en un gestor de secretos y dejar en la variable solo la referencia.

La diferencia práctica es la rotación. Con el valor dentro de la variable, cambiarlo exige tocar y volver a desplegar cada función; con la referencia, se cambia en un sitio y nadie se entera.

En la exportación hay cuatro funciones y dos maneras de resolver lo mismo. Una guarda el valor dentro de la variable; otra guarda una referencia a un secreto del gestor y lo pide al arrancar. Para el informe hace falta el nombre exacto de la variable que lleva el valor, porque es lo que el cliente busca para cambiarlo.

Abre el laboratorio y lee las variables de las cuatro funciones.

En las plantillas de infraestructura hay un atributo que marca un parámetro para que no se muestre: con él puesto, las llamadas que describen la pila devuelven el valor enmascarado. Lo que casi nadie lee es el límite que la propia documentación advierte: ese enmascarado no cubre la sección de metadatos ni la de salidas. Si el valor se publica como salida de la pila, cualquiera que pueda describirla lo lee entero, con la marca puesta y todo.

Lee la plantilla y después lo que la pila publica al terminar.

Un informe se archiva, se reenvía y se adjunta a correos. Copiar dentro el valor de una clave lo convierte en un lugar nuevo donde esa clave está expuesta, y es un error que se comete por querer ser preciso. Lo preciso es otra cosa: dónde vive el valor, desde cuándo, qué puede hacer quien lo tenga y qué se hace primero.