AWS Certificate Manager (ACM)

AWS Certificate Manager emite, guarda y renueva los certificados TLS: el archivo que prueba que tienda.ejemplo.com es de verdad tuyo y permite el HTTPS. Los certificados públicos son gratis cuando los usas en servicios integrados con ACM, como Elastic Load Balancing, CloudFront o API Gateway, y ACM los renueva solo antes de que caduquen. Ejemplo: Viajes Horizonte pide un certificado para su dominio, lo pone en su balanceador y olvida la fecha de vencimiento.

AWS Secrets Manager

Qué es: AWS Secrets Manager guarda secretos de aplicación, como contraseñas de bases de datos y claves de API, y los rota de forma automática.

• Guardar: cada secreto se cifra con KMS. La aplicación lo pide por API en tiempo de ejecución, con permisos de IAM, en lugar de llevarlo en el código.
• Rotar: cambia la contraseña en el secreto y en la base de datos a la vez, cada cierto tiempo. Para RDS y otras bases de AWS, la rotación viene lista; para otros sistemas, la hace una función Lambda.
• Precio: 0,40 dólares al mes por secreto, más 0,05 por cada 10.000 llamadas.

Analogía: un gestor de contraseñas que además las cambia solo cada mes. Dónde falla la analogía: tu gestor personal no avisa al otro sistema; Secrets Manager cambia la contraseña en la base de datos y en el secreto a la vez.

Ejemplo real: Estudio Nébula tenía la contraseña de su base de RDS en un archivo del repositorio. La mueve a Secrets Manager con rotación cada 30 días; su función Lambda la lee al arrancar. Si se filtra, caduca sola.

Úsalo cuando: guardes credenciales de bases de datos o de APIs que deban rotarse. No lo uses cuando: guardes configuración que no es secreta, como el nombre de un bucket (Parameter Store), ni claves de cifrado (KMS).