Raul B.

And more pirates!

Queridos lectores:

En el post anterior comentábamos que la Agencia Internacional de la Energía (AIE) no había anunciado aún la fecha de salida de su informe anual para 2025, el World Energy Outlook (WEO). Esto es bastante inusual: por lo general, la fecha concreta (que generalmente se sitúa a mediados de octubre) se suele anunciar hacia el mes de julio. Javier Blas comentaba en Bloomberg que la razón se halla en que se han visto obligado a recuperar el Escenario de Políticas Actuales (CPS por sus siglas en inglés, el cual vendría a corresponder con lo que generalmente denominamos Business as Usual o BAU) por presión de los EE.UU. La decisión de recuperar este escenario no es menor: en el CPS, no hay cortapisas ni compromisos para disminuir el consumo de combustibles fósiles, la única limitación siendo por tanto la económica. De ese modo, los escenarios CPS siempre han sido escenarios de incesantemente creciente consumo de combustibles fósiles... o así habían sido hasta 2010, en la que por primera vez se reconoció que había problemas para hacer crecer la producción de petróleo. Desde entonces, la AIE ha ido capeando como ha podido el hecho de querer reconciliar escenarios de crecimiento económico que le vienen dados por la OCDE con la realidad física de las limitaciones en la extracción de petróleo primero, y progresivamente gas y carbón. Por eso, en 2020 decidieron desterrar el CPS y pasamos a los escenarios de Políticas Comprometidas, de Políticas Anunciadas, de Desarrollo Sostenible y finalmente de Cero Neto en 2050, cada uno de ellos siendo más estricto que el anterior en cuanto al descenso del consumo de combustibles fósiles. En 2018 estuvieron a punto de reconocer que el Peak Oil era inminente, lo cual no es una coincidencia con el hecho de que noviembre de 2018 marcó el máximo de producción de combustibles líquidos.

Imagen de Peak Oil Barrel, https://peakoilbarrel.com/may-world-and-non-opec-oil-production-flat/

Pero aceptar que un planeta que no es un plano infinito sino una esfera de 6366 kilómetros de radio (y por tanto enorme pero finita) es algo incompatible con la doctrina económica liberal. Así pues, a partir de 2020 el mantra de la AIE ha sido que no se estaba produciendo un pico de producción de petróleo, sino que era un pico de demanda. Es decir, no es que no se pueda extraer más, sino que en realidad no queremos más. De esa manera, se podía mantener la ilusión de que la demanda de energía podía seguir creciendo, simplemente siendo sustituida por cantidades masivas de energía renovable, dentro del modelo de Renovable Eléctrica Industrial (REI).

Han pasado algunos años más. El REI está fracasando estrepitosamente, por las mismas razones que señalábamos hace años y por más que los advenedizos de turno sigan intentando colocar su producto averiado. Alemania, Francia y Reino Unido están sufriendo una fuerte desindustrialización y sus economías renquean, y con ellas las de toda Europa. Alemania anuncia que rebajará sus ambiciones con la eliminación de los coches con motor de combustión interna. Y en EE.UU., Donald Trump está liquidando (con su estilo drástico y grosero) uno a uno todos los proyectos de transición renovable, pues también los EE.UU. tienen sus urgencias económicas. Básicamente, los países que lideraban la necesaria transición fuera de los combustibles fósiles han decidido que la economía va primero y es lo más importante, y por tanto quieren volver a los viejos, fiables y económicamente competitivos combustibles fósiles. Porque, a fin de cuentas y como la AIE no se ha cansado de repetir, el descenso de su producción era un pico de demanda, es decir, obedecía a una decisión. Consumíamos menos porque habíamos decidido consumir menos. Pues bien, se dicen nuestros líderes, ahora hemos cambiado de opinión y queremos consumir más.

Hay un problema, obviamente. Y es que no se había producido un pico de demanda. Lo que había pasado es que se había producido un pico de producción. Simplemente, los recursos que restan son cada vez más caros de extraer, tanto energética como económicamente. Simplemente por eso, no se puede evitar que su producción (es decir, la cantidad que se extrae cada año) entre en un proceso de descenso, de modo que año a año se extraerá cada vez menos petróleo ahora, y en unos pocos años les pasará lo mismo al gas y al carbón. De nuevo, la aberrante teoría económica hoy en día dominante piensa que todo es cuestión de inversión y de precio. Pero no es verdad. Si el rendimiento energético de los recursos extraídos no es lo suficientemente elevado, el precio de extracción es demasiado caro para que la sociedad se lo pueda permitir. Las empresas empiezan a cerrar y se entra en la peligrosa espiral de destrucción de demanda - destrucción de oferta que tantas veces hemos comentado. De hecho, el umbral máximo que puede soportar la economía no es tan elevado como se piensan tantos analistas: hace unos años se situaba en torno a los 120 dólares por barril de petróleo, pero en el deteriorado panorama económico actual es dudoso que se puedan soportar siquiera 100 dólares por barril. Y ni siquiera hace falta que el precio del petróleo se mantenga sistemáticamente elevado: basta con que lo haga un par de semanas para desencadenar la espiral de destrucción de demanda primero y de oferta después, y así nos mantenemos con precios relativamente bajos hasta el siguiente pico de precios. Llevamos viviendo eso desde 2008 y así seguiremos, y lo único esperable es que los ciclos (y su destrucción) se aceleren a medida que la producción de petróleo descienda.

En estas circunstancias, la AIE tiene una dificilísima papeleta. ¿Cómo explicará ahora que eso del pico de la demanda era mentira? ¿Cómo explicará que, en realidad, va a faltar petróleo primero, y luego gas y más tarde carbón? ¿Que no va a ser posible mantener el crecimiento económico? ¿Cómo conseguirá que los países occidentales acepten que, de una manera u otra, esto va a cambiar forzosamente, que el juego se ha acabado?

Y es en este contexto que la AIE acaba de publicar un informe especial que nadie se esperaba. Un informe con revelador título: "Las implicaciones de los ritmos de descenso de los campos de petróleo y gas". Un informe con el que la AIE espera allanar el terreno para las amargas píldoras que habrá que tragar los próximos años. Dada la importancia de este informe, he decidido escribir este post, analizando su contenido.

Comencemos por lo más básico: la palabra "pico" ("peak") y sus derivados aparece la friolera de 92 veces, y eso en solo 73 páginas de informe; y en todos casos, se refiere a pico de producción, nunca al pico de demanda (parece que estamos recuperando el tiempo perdido en los últimos años). Un vistazo rápido al informe muestra que estamos delante de un documento fundamentalmente técnico, con mucho análisis numérico (hasta mencionan cuestiones técnicas del lenguaje de programación usado en el análisis) y muy poca interpretación política.

El resumen ejecutivo marca las líneas maestras de lo que es este documento. Algunos mensajes clave:
 

• Literalmente la primera frase del resumen ejecutivo: "El debate sobre el futuro del petróleo y del gas tiende a centrarse en las perspectivas de demanda, con mucha menos consideración concedida a cómo podría desarrollarse el cuadro del suministro". Y a continuación nos dicen que esa asimetría es un error y que en realidad la AIE lleva calculando los ritmos de caída de producción de petróleo y gas desde hace años. Como si no hubieran sido ellos mismos los que hubieran causado esta asimetría...
•  "Aproximadamente el 90% de la inversión en upstream de petróleo y gas desde 2019 se ha dedicado a compensar las caídas de producción más que en alimentar el crecimiento de la demanda".
•  En 2000 el petróleo convencional representaba el 97% de la producción, pero en 2024 su contribución se ha reducido al 77% (en el gas, al 70%). La mayoría de lo no convencional (por lo menos, lo que más ha crecido) es petróleo y gas de fracking (algo que como sabemos tiene los pies de barro).
•  El ritmo de caída de producción de los campos de petróleo convencional es del 5,6% anual, mientras que para el gas convencional es del 6,8% (los ritmos de caída de los no convencionales llegan al 35% el primer año y un 15% anual los años siguientes, aunque en éstos la clave es la rápida sustitución de pozos). Esos son los ritmos de caída (denominados "descensos observados") si asumimos que destinamos el 90% de la inversión en upstream a compensar su caída: si se cortara esa fuerte aportación económica, el ritmo de toda la producción (no solo la convencional) caería al 8% anual para el petróleo, y del 9% en el caso del gas: éstos son los denominados "descensos naturales". Cabe decir que con esos ritmos de caída, la producción sería prácticamente testimonial en solo 10 años...
•  Los ritmos de descenso natural se están acelerando. Y si nos atuviéramos solamente a los descensos naturales (es decir, se cortara en seco la inversión), la producción quedaría rápidamente concentrada en Oriente Medio y Rusia. Así de claro.
•  Mantener la producción de petróleo y gas en los niveles actuales implicaría encontrar cada año nuevas reservas por 10.000 millones de barriles de petróleo y 1 billón de metros cúbicos de gas natural. Esto es más del doble de lo que se está encontrando ahora mismo.

Analicemos ahora los capítulos del informe. No entraré en todos los detalles, solo los más relevantes para los temas que quiero discutir.

Capítulo 1: Producción e inversión en petróleo y gas natural.

La primera figura habla por sí sola:



A pesar de las repetidas veces que encontramos informes que dicen que hemos sobrepasado los 100 millones de barriles diarios (Mb/d) de producción de todos los líquidos del petróleo, la AIE es clara: no, aún no hemos pasado ese umbral. Y eso teniendo en cuenta que esa categoría, "todos los líquidos del petróleo", es engañosa porque contiene un epígrafe, "líquidos del gas natural", que se utiliza mayoritariamente en la producción de plásticos y no en la de combustibles líquidos. De hecho, es claramente la categoría que más crece (en realidad, todo lo convencional declina) y sin los líquidos del gas natural la producción de líquidos mostraría una caída, a pesar del petróleo de fracking (la única otra categoría que crece de manera apreciable).

Cuando se separa por regiones, se ve claramente que lo único que evita que se desplome la producción es los EE.UU. La OPEP y Rusia aguantan más o menos el tipo, con una ligera caída, y el resto excepto EE.UU. están en franca caída. Cosa que ya sabíamos.

En el caso del gas natural, la situación es bastante peor en realidad, dada la absoluta dependencia en los efímeros pozos de gas de fracking. De hecho, sin su aportación la producción estaría prácticamente estancada desde 2010 y en declive desde 2020 (lo cual me recuerda un viejo post que escribí hace 15 años).

Un poco más tarde se analiza el ritmo de descubrimiento de nuevos yacimientos de petróleo y gas. Aquí la AIE utiliza uno de sus viejos trucos sucios, y en vez de presentar los hallazgos separadamente para el petróleo y el gas, los presenta conjuntamente, convirtiendo el gas en "barriles de petróleo equivalente". Tengan presente que, cuando se presentan de esta manera, el gas representa alrededor del 60% de los descubrimientos, y el petróleo el 40% restante. Creo que la gráfica es muy elocuente sobre la situación actual. En el período 2020-2024, los descubrimientos de petróleo deben estar por los 3000 millones de barriles anuales (cuando antes ya han dicho que deberían rondar los 10.000 simplemente para mantener la producción).

También muestra la AIE una gráfica sobre la evolución de la inversión en upstream (búsqueda, puesta en funcionamiento y mantenimiento de nuevos pozos) de petróleo y gas. De nuevo hay un par de trucos sucios: el consabido de mezclar gas y petróleo, y el de comenzar la gráfica en el año 2015, cuando 2014 es el año del máximo de inversión y de 2014 a 2015 se produjo una caída del 26%; aún así, se ve que la inversión actual está bien por debajo de la de 2015, pero obviamente se pretende transmitir una cierta (falsa) idea de estabilidad. 

Combinando esta gráfica con la anterior queda claro que la inversión está siendo cada vez más insuficiente, y que, al ser de peor calidad los yacimientos que quedan, cada vez se consiguen menos barriles nuevos con la misma inversión - lo cual es lógico, porque los yacimientos que quedan son cada vez peores y de acceso más complicado. Y se evidencia que la situación está peor en el caso del petróleo, pues si bien el 40% de los barriles encontrados son de petróleo, en cuanto al gasto en upstream el petróleo representa el 76% del total.

Es interesante ver también el gasto por región: en la actualidad, América del Norte (EE.UU., Canadá y México) es donde más se invierte, un 34% del total, bastante por encima del peso de su producción.

Capítulo 2: Ritmos de descenso observados y naturales de los yacimientos de petróleo y gas natural.

 
De nuevo, la primera figura habla por sí sola. "Post-peak" quiere decir yacimientos que ya han pasado su pico de producción y están disminuyendo; "ramp-up" son yacimientos que entraron en funcionamiento después de 2015 y aún no han llegado a su pico, y "legacy" son yacimientos anteriores al 2015 que aún no han llegado a su pico. 

La inmensa mayoría de la producción proviene de  yacimientos de petróleo y de gas que han pasado ya su pico de producción (80% y 90%, respectivamente). Ésta es la situación que tenemos que manejar.

Y de eso va este capítulo, de dar muchas métricas del desastre. Se definen convencionalmente tres fases del declive: la fase 1 (del pico hasta el 85% de la producción), la fase 2 (del 85% al 50% de la producción) y la fase 3 (del 50% hasta el final de la explotación). Con esta definición, tabulan las tasas promedio de declive anual observado según diversas tipologías de yacimiento.

Como pueden ver, la tasas de declive observado aceleran a medida que avanzamos a fases más avanzadas del declive productivo. Por eso, cuando se dice que la tasa de declive observado promedio es del 5,6%, está claro que aún predominan los pozos en la fase 1; pero a medida que vayan envejeciendo, cada vez más pozos pasarán a las fases 2 o 3 y la tasa promedio de declive anual se disparará.

Los números promedio son semejantes para el gas natural (fase 1: 4,5%; fase 2: 11,5%; fase 9,7%), aunque su tasa promedio es algo mayor (6,8% anual), lo cual indica que tiene más pozos en fase 2, y también que la aceleración de su declive está más avanzada que en el caso del petróleo.

Hay muchos más análisis interesantes en este capítulo, pero no me detendré ahora en ellos.

Capítulo 3: Implicaciones de las tasas de declive en la producción, inversión y seguridad energética.

Como en cada capítulo, la primera figura habla por sí sola. Así evolucionaría la producción de petróleo y gas si se detuviera la inversión en upstream, es decir, si se la dejara caer a sus tasas de declive naturales:

Como pueden ver, a la vuelta de 25 años la producción de petróleo y gas natural sería prácticamente marginal. Lo cual es obviamente malo; pero además, como nos explican, debido a que cada vez se explotan más yacimientos de petróleo y gas no convencional, que duran poco y cuya producción decae más deprisa, los ritmos de caída natural están empeorando con el tiempo. Básicamente, que cada vez cuesta más simplemente mantener una producción constante.

Han analizado también cómo evolucionaría la situación si se invirtiera de la mejor manera posible en los campos existentes y en todos los que ya están aprobados pero no explotados. La cosa mejora, pero no crean que es para tirar cohetes. La conclusión es clara: no basta con mantener lo que hay, no basta con explotar lo que ya se conoce. Hay que encontrar nuevos yacimientos, y a mansalva (y cada vez más rápido).

Después, analizan en qué nivel se tiene que mantener la inversión en upstream para que la producción no caiga. La conclusión es que si nos mantenemos en los 500.000 millones de dólares al año actuales, hasta 2050 la producción de petróleo y gas natural subiría un poco. Es interesante la gráfica que dan sobre cuál sería el nivel de producción según diferentes escenarios de inversión, entre 0 y 500.000 millones de dólares anuales. También es importante hacer notar que esa gráfica asume que el ritmo de declive es constante (lo que no es cierto).

Y al final ésta parece ser la conclusión que quieren transmitir con este informe: que se puede conseguir una cierta estabilidad durante los próximos 25 años, con tal de mantener un nivel de inversión de alrededor medio billón de dólares anuales. 

Es una lástima que el informe acabe así, con esa conclusión.  Por supuesto, falta en este análisis una mejor comprensión de la geología de los yacimientos, puesto que en el fondo se asume que los yacimientos van a aparecer simplemente si se pone más dinero. En realidad, como muestra su gráfica de descubrimientos, a pesar de mantenerse el nivel de inversión cada vez se encuentra menos petróleo y gas. Simplemente, porque cada vez queda menos, accesible y fácil de explotar.

La AIE, con este informe, se ha cubierto las espaldas, como es su costumbre. Ellos ya han avisado del problema del declive productivo, y han dado la receta para evitarlo: hay que invertir más dinero, y por lo menos medio billón de dólares. Por lo menos, porque como ellos mismos advierten, los declives van a empeorar en los próximos años.

Vamos a ver cómo se presenta el WEO de este año, al final. Pero seguramente vamos a encontrar algunas sorpresas. Por lo pronto, vayan preparando la cartera, porque al final pagaremos por ese petróleo, tanto si se pone la inversión en upstream como si no se pone.

Salu2.
AMT
 

Elastic Load Balancing simplifies authentication by offloading it to OpenID Connect (OIDC) compatible identity providers (IdPs). This lets builders focus on application logic while using robust identity management.

OIDC client secrets are confidential credentials used in OAuth 2.0 and OIDC protocols for authenticating clients (applications). However, manual management of OIDC client secrets introduces security risks and operational overhead.
As shown in Figure 1, manual management of OIDC client secrets starts with authentication through a third-party IdP.

Figure 1: Manual management of OIDC client secrets

The risks of manual management of OIDC client secrets include:

• Exposure of plaintext credentials
• The need for manual intervention to adjust the Application Load Balancer (ALB) configuration
• Lack of proactive monitoring of credential changes
• Lack of continued verification of authentication credentials
• Not scalable for ALB configuration with multiple listener rules

In this blog post I show you how to automate OIDC client secret rotation using AWS Secrets Manager, AWS Lambda, and Amazon EventBridge, helping to enhance security and streamline operations. Automating secret rotation is a critical security practice that minimizes the risk of credential compromise and helps facilitate ongoing compliance.

For the ALB-OIDC authentication setup, see Authenticate users using an Application Load Balancer.

Solution overview

This solution provides a flexible framework for automated credential management across various OIDC providers (Auth0 as an example), with a specific implementation demonstrating integration with AWS services. The core architecture supports automated credential rotation, secure secret storage, provider agnostic design, and scalable implementation across different authentication workflows. The key components are:

• Secrets Manager: Securely stores and manages OIDC (Auth0) client credentials.
• Lambda: Executes the secret rotation logic on a scheduled basis.
• Elastic Load Balancing: Offloads authentication using OIDC listener rules.
• EventBridge (scheduled): Triggers the Lambda function according to a defined schedule.
• Custom AWS CloudFormation resource: Automates the entire stack and architecture used in this post.

Figure 2: Automated OIDC client secret rotation

The authentication workflow, as shown in Figure 2, is:

1. EventBridge triggers the Auth0CredentialHandler Lambda handler every 15 minutes
2. The Auth0CredentialHandler Lambda handler connects to the Auth0 management domain and gets the current client credentials—auth0_current.
3. The Auth0CredentialHandler Lambda handler fetches the existing credentials auth0/credentials/${Auth0-dev-domain} from Secrets Manager and compares them with the credential auth0_current retrieved in the previous step.
   • If the secret isn’t found, the handler retries three times within a 30-minute period and then logs AWS CloudWatch alarms.
   • Assumes that the secret Amazon Resource Name (ARN) is already present in Secrets Manager.
4. If the credentials are different, Auth0CredentialHandler updates the auth0/credentials/${Auth0-dev-domain} with the new value. If the credentials are the same, no action is taken. CloudWatch alarms are configured to trigger for successful and for failed secret updates.
5. The ALB listener rule is configured to pull client credentials dynamically from the auth0/credentials/${Auth0-dev-domain} resource ARN in Secrets Manager.

Security recommendations

There are several things you can do to improve the security of your authentication system, starting with implementing centralized secret management with encryption enabled for data at rest. You can also configure Lambda functions with least-privilege permissions, limiting access to only required Secrets Manager and ALB listener resources, which can reduce the security blast radius.

Use CloudWatch alarms to monitor key operational events, including secret updates, update failures, and ALB credential issues and use AWS Config to track rule configurations and perform regular security audits.

By creating separate secrets for each ALB listener rule, you can enable granular access control and narrow the scope of permissions, helping to enhance overall system security.

By following these practices, you can establish a robust security framework for your application and provide proper data protection and access management.

Prerequisites

This solution assumes that the following prerequisites are met before beginning implementation:

• An existing ALB configured with a listener and target groups to be used as Listenerarn and targetarn in the CloudFormation template
• An OIDC IdP (for example, Auth0) account and client application
• Auth0 IdP application client credentials stored in Secrets Manager

      {
       "domain": "your-tenant.auth0.com",
       "client_id": "your-client-id",
       "client_secret": "your-client-secret"
       }

Implementation details

Note: This solution demonstrates OIDC client secret rotation using Auth0 as the IdP. While the core principles and architectural patterns are generally applicable, specific implementation details might vary across different identity providers. Users are advised to consult their specific IdP’s documentation for precise configuration steps, API interactions, and AWS compatible authentication mechanisms.

This is an automated, simple and scalable approach using a CloudFormation custom resource to create the resources mentioned in architecture diagram. The CloudFormation template and AWS Lambda implementation are hosted in demo-stack

Core components

In this section, I explain the key components of the solution.

Credential refresh rule

An EventBridge rule is scheduled to trigger the Auth0CredentialHandler Lambda function at 15-minute intervals using the LambdaInvokePermission AWS Identity and Access Management (IAM) role.

Auth0CredentialHandler Lambda function

The Auth0CredentialHandler Lambda function is responsible for securely managing client credentials. It retrieves the Auth0 configuration from the Secrets Manager resource auth0/credentials/${Auth0-dev-domain}, makes API calls to the Auth0 domain to obtain new tokens, and manages the updating of these credentials in Secrets Manager. It requires permissions to interact with Secrets Manager, which are provided through its execution role.

This IAM role used by Lambda has two main permission sets.

• The AWS managed policy AWSLambdaBasicExecutionRole, which allows the Lambda function to create CloudWatch logs.
• A custom policy that grants specific Secrets Manager permissions (GetSecretValue, CreateSecret, UpdateSecret) for secrets under the auth0/credentials/${Auth0-dev-domain} path.

Lambda will retry three times within a 30 minute period. If all attempts fail, then a CloudWatch warning will be logged and create alarms.

  ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole
      Policies:
        - PolicyName: SecretsManagerAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - secretsmanager:GetSecretValue
                  - secretsmanager:CreateSecret
                  - secretsmanager:UpdateSecret
                Resource:
                  - !Sub 
arn:aws:secretsmanager:${AWS::Region}:${AWS::AccountId}:secret:auth0/*

# Permission for Amazon EventBridge to invoke Lambda
  
  LambdaInvokePermission:
    Type: AWS::Lambda::Permission
    Properties:
      Action: lambda:InvokeFunction
      FunctionName: !Ref Auth0CredentialHandler
      Principal: events.amazonaws.com
      SourceArn: !GetAtt CredentialRefreshRule.Arn

ALB listener rules

Elastic Load Balancing listener rule resources in CloudFormation are configured to dynamically resolve the client credentials from Secrets Manager and forwards authenticated requests to a specific target group. It integrates with the Auth0 credentials that are regularly refreshed by the Auth0CredentialHandler. This configuration requires read access to Secrets Manager to obtain the Auth0 client credentials for authentication.

# ALB Listener Rules - replace the Oidc config with your endpoints. Only Client credentials are stored in SecretsManager
  ListenerRule1:
    Type: AWS::ElasticLoadBalancingV2::ListenerRule
    Properties:
      ListenerArn: arn:aws:elasticloadbalancing:region:account-id:listener/app/my-load-balancer/1234567890/abcdef
      Priority: 1
      Actions:
        - Type: authenticate-oidc
          AuthenticateOidcConfig:
            ClientId: 
'{{resolve:secretsmanager:auth0/credentials/your-tenant.auth0.com:SecretString:client_id}}'
            ClientSecret: 
'{{resolve:secretsmanager:auth0/credentials/your-tenant.auth0.com:SecretString:client_secret}}'
            Issuer: https://idp1.example.com
            AuthorizationEndpoint: https://idp1.example.com/auth
            TokenEndpoint: https://idp1.example.com/token
            UserInfoEndpoint: https://idp1.example.com/userinfo
            OnUnauthenticatedRequest: authenticate
        - Type: forward
          TargetGroupArn: 
arn:aws:elasticloadbalancing:region:account-id:targetgroup/target-group-1/1234567890abc
      Conditions:
        - Field: path-pattern
          Values:
            - /app1/*
           

CloudWatch monitoring and alerting

The provided CloudFormation template is configured to establish security monitoring for secret updates. The template provisions alerts for successful and failed secret updates. The template creates CloudWatch metric filters using AWS CloudTrail logs, sets up corresponding alarms with defined thresholds, and establishes an Amazon Simple Notification Service (Amazon SNS) topic for consolidated alert delivery. Upon deployment, this infrastructure-as-code solution enables automated detection and notification of potential security events related to secrets management and unauthorized access attempts.

  # CloudWatch Log Group
  CloudTrailLogGroup:
    Type: AWS::Logs::LogGroup
    Properties:
      LogGroupName: secrets-manager-monitoring
      RetentionInDays: 14
      
  # Combined Metric Filter for Both Success and Failed Updates
  SecretUpdateMetricFilter:
    Type: AWS::Logs::MetricFilter
    Properties:
      LogGroupName: !Ref CloudTrailLogGroup
      FilterPattern: !Sub '{ $.eventSource = secretsmanager.amazonaws.com && ($.eventName = UpdateSecret || $.eventName = PutSecretValue) && $.responseElements.ARN = "${MyCustomResource.SecretArn}" }'
      MetricTransformations:
        - MetricNamespace: 'SecretsManager/Updates'
          MetricName: 'SecretUpdates'
          MetricValue: '1'
          DefaultValue: 0

  # Combined Alarm for Both Success and Failed Updates
  SecretUpdateAlarm:
    Type: AWS::CloudWatch::Alarm
    Properties:
      AlarmName: !Sub '${AWS::StackName}-secret-update'
      AlarmDescription: !Sub 'Alarm for any updates (success or failure) to secret ${MyCustomResource.SecretArn}'
      MetricName: SecretUpdates
      Namespace: SecretsManager/Updates
      Statistic: Sum
      Period: 300
      EvaluationPeriods: 1
      Threshold: 0
      ComparisonOperator: GreaterThanThreshold
      TreatMissingData: notBreaching
      AlarmActions:
        - !Ref SecretMonitoringTopic

To enhance the reliability of the secret rotation process, implement comprehensive monitoring by creating CloudWatch alarms to detect Lambda rotation failures beyond threshold and high rates of authentication failures, unusual spikes in HTTP 4xx and 5xx error rates from ALB and using CloudTrail to track API calls and configuration changes related to secrets in Secrets Manager and load balancer settings. By implementing these custom alarms alongside standard configurations, potential security incidents and unauthorized access attempts can be quickly detected across your AWS resources. This multi-layered approach helps maintain visibility into the rotation process and helps quickly identify and respond to potential issues.

See Creating CloudWatch alarms for CloudTrail events: examples for detailed guidance.

Deployment process

Deploy the CloudFormation template using the AWS Command Line Interface (AWS CLI) or AWS Management Console. Replace <your-region> with the AWS Region where you want to deploy the solution.

aws cloudformation deploy \
  --template-file template.yaml \
  --stack-name oidc-credential-manager-stack \
  --capabilities CAPABILITY_IAM \
  --region 

Note: You can add additional parameters if required by your IdP configuration.

Testing and verification

Disclaimer: It’s recommended to test in a separate non-critical environment to make sure that any customer-specific settings are fully verified before deploying in production environments.

For secret updates, verify that the configured CloudWatch alarms are triggered. For ALB authentication, examine ALB access logs for authentication_success entries and the presence of OIDC identity tokens.

Set up CloudWatch metrics and alarms to monitor the rotation process and authentication success rates.Verify failure cases by manually editing ALB rule configuration to point to a different secret ARN and confirm that the CloudWatch alarm is triggered.The following is an example CloudTrail event for a successful Secrets Manager update:

{
  "source": ["aws.secretsmanager"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["secretsmanager.amazonaws.com"],
    "eventName": ["UpdateSecret"],
    "responseElements": {"status": "Success"}
  }
}

The following is an example of ALB access logs:

/aws/alb/<your-alb-name>:
- Look for entries containing:
  "authentication_success"
  "id_token_authentication_successful"
  "x-amzn-oidc-identity"
  HTTP status code 200
- Example log pattern:
  timestamp elb_name client:port target:port request_processing_time 
  target_processing_time response_processing_time status_code 
  "authentication_success" "x-amzn-oidc-identity: [token]"

    

Advanced scenarios

In this section, you learn how to reduce the wait time and make the Secrets Manager update nearly synchronous.

• Optimize the Secrets Manager sync: Use EventBridge partner integration to configure EventBridge to invoke the Lambda function based on the events received from third-party IdP. See Receiving events from a SaaS partner with Amazon EventBridge for detailed guidance.
• Rotate the client ID: While rotating the client secret is the most common scenario, there might be instances where rotating the client ID is also necessary. In most identity providers, this means creating a new application client and migrating resources. To do this, the Auth0CredentialHandler requires permissions to modify ALB listener rules (elasticloadbalancing:ModifyRule, elasticloadbalancing:DescribeListeners, elasticloadbalancing:DescribeRules). Client ID rotation can cause temporary authentication disruptions, so thorough testing is crucial. Use AWS Config to monitor ALB rule configurations for unexpected changes. This feature empowers a more comprehensive security posture, although it can increase the complexity of the solution and might require manual intervention.
• Multi-provider strategies: If your organization handles multiple IdPs, implement a centralized rotation framework that abstracts provider-specific nuances, focusing on core security principles outlined in this post. Key considerations include creating provider-agnostic interfaces to support comprehensive monitoring and minimizing configuration overhead.

Conclusion

In this post, you explored a comprehensive approach to automating OIDC client secret rotation using AWS services. By implementing this solution, you can enhance your application’s security, reduce manual management overhead, and maintain a robust authentication strategy.

Consider exploring advanced identity management techniques or integrating multi-factor authentication with your OIDC implementation. If you are new to automated secrets rotation, visit Back to Basics: Secrets Management.

If you have questions or feedback about this post, contact AWS Support.

Kani Murugan

Kani is a tenured security engineer at Amazon Security, where she specializes in product security with a focus on application, network, and data security. With over 8 years of experience in various security domains, Kani brings a wealth of knowledge to her role. Outside of work, Kani is an anime enthusiast and an indiscriminate reader across diverse topics.

It’s five answers to five questions. Here we go…

1. Is it OK to let my staff fail?

My boss intimidates a lot of my staff. I’ve worked on more exposure, getting to the root of the issues, preparing for meetings, common questions, etc. A lot of it is that the boss knows her stuff, and you can’t BS her. My star performers work great with her, with a high level of mutual respect.

I’m about to go on leave for an extended period of time. I’m C suite level, with a division of a couple hundred under me. While I’m out, stuff will be reported directly to her. Honestly, more people working directly with her will really help them become more comfortable with her.

We’ve got a regular report that has become a beast. I’ve been working with the teams over the report for a couple of months to clean it up and get a better summary in place. Every direction I give gets pushback. Even simple ones like labels of columns so it is in layman’s terms, vs technical ones. At this point, this report is viewed as unhelpful and confusing at best, unreliable data at worst. I’m at my wits end.

While I’m out, the report has to be used for some external audiences in a very summarized form. I’ve gone over time and time again what this will look like (including providing examples, editing versions they did) and it isn’t working.

I don’t understand the disconnect coming from multiple people in that leadership area. Given the short time frame before I’m out, I’ve fallen back on … well, if my staff won’t get the issue now, they sure will when they are getting the feedback directly from my boss.

I don’t want to set up my staff to fail, but I’m not sure where else to go from here. They’ve seen the summary versions I’ve provided before, and I don’t understand how we keep getting stuck in a loop on this. If it happened while I was here, I’d go another four rounds with them cleaning it up. We’re running low on time for me to fix it more. Do you ever let people just fail? I know my patience is thin because of personal things.

Can you just provide a template for the report and say they must use the template, or does that not work for the context? But also — this is odd. It sounds like something significant is going on: there’s a major communication disconnect somewhere, or there’s a skills/competence issue on your team, or … something else, who knows what. Getting the report right is important, but it’s also important to figure out where this disconnect is coming from, because something is going on that reflects a bigger problem.

As for how to handle this when you’re out: let your team know that it’s going to be a Big Deal with your boss if they don’t get the report right and ask what they need from you to ensure they can do that, and also give your boss a heads-up about what’s going on so she’s not blindsided if it’s a mess again.

Really, though, when you’re back from leave, there’s something weird to dig into here.

2. Employee already works too hard and now wants a promotion

I lead a team of front line workers and coordinators in the human service field. One of the coordinators has resigned and a number of the front line workers are interested in and qualified for the coordinator position. One of them, Tom, is an obvious frontrunner, but already comes to work early, works late, and sometimes works on weekends. He also sometimes does most of the work available to the team, leaving the rest of the team feeling like they don’t have enough to do. This is in no way required by the job (others in the same role do not do this, the other coordinators do not, and I don’t do this either) and has been addressed with him by the current coordinator in many ways with little change.

I am concerned that if Tom takes the promotion, which would include more stress and more work, he will continue this pattern. My manager tells me that working hard is a good thing (and I agree), but I am concerned that he will quickly burn out by working too hard. If he does get the coordinator position, how can I address this and support him through it?

Is he exempt or non-exempt? Because a front line worker in human services sounds very much like the job is likely non-exempt — meaning that you’re legally required to pay him overtime for all those extra hours he’s working over 40 in a week. If that’s the case, is he logging those hours and is your company paying the legally required overtime? If not, (a) that’s a problem that needs to be fixed right away and (b) it’s also a problem that Tom is working unauthorized overtime if he’s been told to stop (unless no one has even framed it this way, in which case that needs to happen next).

I’m also wondering what the coordinator’s conversation with him was like. Was it “you don’t need to keep doing all this extra work” or was it “you need to stop doing all this extra work because it’s causing problems for others on the team”? If it was the first … well, fine, that’s worded as a suggestion that he can take or leave. But if it was the second, it’s worth looking at Tom’s relationships with colleagues and how he takes feedback more broadly and what the impact on the team is likely to be from promoting him if they’re all frustrated with him (the latter isn’t necessarily a reason not to do it, but you don’t want to be blindsided by that being a problem after the fact, either) … as well as, frankly, the management practices that are allowing him to ignore clear directives.

None of which is about burn-out, which is the thing you’re asking about. You can certainly have a conversation with Tom from that angle, but “very high work drive” isn’t a reason not to hire someone (although it might be a reason to talk more explicitly with him about setting boundaries to keep his work sustainable long-term). The other issues above worry me more.

3. Can I ethically ignore that a colleague is being influenced by our toxic boss?

My incompetent, insecure boss has decided that I am the root of all problems with our projects (when I’m actually cleaning up their mess). I’m good at my job, I’ve tried to address the behavioral issues through the Correct Channels, I’ve gotten lots of advice and tried to change what I can. But I can’t stay in a toxic environment. I’m actively looking for new roles.

I can ignore Boss — they’re unhinged and there’s nothing I can do to change it. But Boss also has a young protege and is training them in the ways of dysfunction. Wee Boss started as an intern and was hired as soon as they graduated from college; this is the only job they’ve ever had. Wee Boss is smart and hard-working but often careless, sometimes in ways that are embarrassing and make our team look unprofessional. I gave Wee Boss some gentle but firm feedback, making it clear that mistakes happen but it would be great if they didn’t happen in the future. I’m now forbidden to give Wee Boss any feedback despite being in project management, because their feelings were hurt by my carefully worded compliment sandwich. In only a year, I’ve seen Wee Boss grow rude, arrogant, and resistant to learning new things.

Because I’m on my way out, I’ve stopped trying to change Boss’s behavior. HR doesn’t care, GrandBoss is retiring and also doesn’t care. I could file multiple union grievances but that takes time and effort and won’t change Boss. But then there’s Wee Boss, who will either get fired from their next job because gentle feedback makes them cry, or will end up bullying their coworkers. Maybe both. Wee Boss is just a kid, Boss is setting them up for failure, and it feels unethical not to try to stop that. But also, I’m so done with this job and it’s BS. What do I do?

Wash your hands of it and move on. You tried to give feedback and they were upset by it, and this isn’t your employee so you’re not obligated to coach them. You offered some coaching anyway and they rejected it. So: not your problem.

It’s not unethical not to force help on someone who has made it clear they don’t want it and isn’t your minor child or otherwise a dependent.

4. My brother was rightfully fired — should he include that job on his resume?

My brother was a mechanic for a big supplier of warehouse equipment, where he routinely went on service calls in a company truck that had all of his company tools in it. He was expected to drive this vehicle home at night, then directly to whatever service call was required at start time the next day. He was a non-exempt, hourly employee.

He spoofed the GPS on this truck so he could go home while on the clock when he finished projects in under the budgeted amount of time without clocking out.

Unsurprisingly, he was unceremoniously ushered out the door upon discovery. He had worked there for about four months, and had the GPS spoofed for a couple weeks.

How does he list this on job applications and/or a resume? He had previously worked at a similar company for a couple of years with no negative incidents (that I know of, at least), so I am tempted to recommend to him to just leave this job off, list the actual start and finish dates of his previous jobs, then when asked about the gap, state that he was doing some work to pay the bills, but it didn’t seem extensive or relevant enough to include. Is that ethical? It is technically accurate, but I’m close enough to the situation that I’d like to know if I’m off-base here. If a prospective employer keeps asking for details, I’d advise him to simply tell the truth.

I want to give him sound advice that gives him the best chance at getting a new job without crossing any moral or ethical lines.

He should absolutely leave the job off his resume. He’s going to have a very hard time getting hired if they find out why he left. A resume isn’t required to be a comprehensive listing of everything he’s ever done; if a job doesn’t strengthen him as a candidate, and definitely if it does more harm than good, he can leave it off.

That said, he still may encounter applications that ask if he’s ever been fired from a job, and will likely need to attest that he’s answering that question truthfully. Whether to do so or not is between him and his conscience; realistically, if he erases this last job from his memory, future employers may never find out (particularly if they’re not in the same field) — but if he lies and gets caught, he could lose future jobs over the omission. (Realistically, if it comes out it’s more likely to cause a problem at the hiring stage, meaning he just wouldn’t get that offer, rather than after he’s already been working there a while. But the latter isn’t impossible either.)

Related:
how do employers know if you’re answering “have you ever been fired” honestly?

5. Does a temporary assignment have a shorter expiration date as resume material?

My partner is having a fantastic first experience of people management, in the form of a 10-month maternity leave cover. He’s getting strong feedback from his reports, peers, and skip-level manager (his direct manager is asleep at the wheel — another story). He is sure people management is where he wants to focus his future career if possible. At the end of this cover period, he’ll likely go back to being an individual contributor. Some of his colleagues at the company have done the same and, three or four years after the cover assignment ended, are still individual contributors, having applied for internal management roles and not happening to get them (and in one case getting feedback that cover assignments “aren’t real management experience” — though the company is so huge, it’s hard to say if that’s a cultural view or an individual hiring manager’s opinion).

So my question is, does the resume value of a cover role have an unspoken expiration date? If my partner wants to use this experience to support an application for a permanent manager position, will it have more traction if he is applying, say, six months after this role ends, as opposed to three or four years after? Because if so, it may make sense for him to job hunt fairly energetically outside the company in the next year or so, alongside applying for any relevant internal positions. He’s open to the idea if it is the pragmatic choice, though he really likes his company and his colleagues.

It’s a hard question to answer, because it will vary from hiring manager to hiring manager. But all else being equal, there’s value in it being recent. It won’t “expire” three years from now, but it’ll likely carry less weight than if it were recent. That doesn’t mean it won’t carry any weight, just that if he job searches now, it might give him a bit more of a bump than if he waits. But I don’t think the difference is significant enough that it should cause him to leave a job he otherwise likes and is happy at.

The post is it OK to let my staff fail, coworker is being influenced by our toxic boss, and more appeared first on Ask a Manager.

Actor, director, productor y gran impulsor del cine independiente, hablar de Robert Redford es hablar de uno de los nombres más influyentes y carismáticos de la historia del cine. Su trayectoria abarca más de seis décadas y combina el magnetismo de una estrella clásica que llegó a ser uno de los grandes sex symbol de Hollywood, con la visión de un creador que ha sabido reinventarse constantemente.

etiquetas: cine, robert redford, hollywood, actor

» noticia original (rodajesdepeliculas.blogspot.com)

Los Mossos d'Esquadra han desarticulado en Lleida una red de mujeres que simulaban ser víctimas de violencia machista para obtener papeles, legalizar su situación y poder acogerse así a ayudas económicas y sociales

etiquetas: violencia machista, denuncias falsas, inmigración ilegal, lleida

» noticia original (www.elmundo.es)

Venimos de aquí.

Ver post completo: La respuesta del Gobierno de España al comunicado de la UCI

[Ver vídeo en X]

Ver post completo: Entre quedar mal y quedar muy mal, eligió quedar peor.

El Comité Olímpico Internacional (COI) ha asegurado este martes que Israel respeta la Carta Olímpica ("constitución" oficiosa de la organización)

etiquetas: coi, juegos olímpicos, israel

» noticia original (www.rtve.es)

La derecha y la extrema derecha criminalizan una protesta ciudadana contra el genocidio en Gaza mientras olvidan sus propias acciones de bloqueo en las calles de Madrid ...

etiquetas: manifestaciones, derecha, ultraderecha, ayuso, kale borroka

» noticia original (www.catalunyapress.es)

A reader writes:

I recently relocated to another state and began looking for a job. Throughout the course of my search, I have come across an interesting and unusual (to me) phenomenon: ghosting. I have been ghosted by pre-screeners, HR directors, hiring managers, and a VP. In each case I have sent follow-up emails to express my continued interest in the position and … crickets.

In one interview, the HR director literally said, “I will call you next week,” “I won’t ghost you,” and, “I don’t intend to ghost you, I promise.” I had not mentioned anything to her during our interview. And yes, she ghosted me. I sent a follow-up email and, no, I did not hear anything back from her.

In my chosen field, I am looking for a mid- to upper-management position. The size and structure of the company doesn’t seem to matter either. I have had this happen with small, medium, and large companies.

The ghosting has happened in cases where I have specifically been told in an interview that I am a viable candidate and they intend to schedule a second or third interview. And then, nothing.

Having been a hiring manager and been in positions where I supervised HR departments I understand the internal process can get very busy and things can and do fall through the cracks. However, it is happening on such a regular basis I have actually come to expect it. And really, how much time does it take to send off a rejection email?

I guess I have two questions: Has this become a common practice? And is there anything else I can do besides sending a follow-up email?

You can read my answer to this letter at New York Magazine today. Head over there to read it.

The post what’s up with employers not getting back to me after I interview? appeared first on Ask a Manager.

El rey se traslada a El Cairo con la reina Letizia en su primer viaje de estado a Egipto

Basta con revisar los perfiles de los perpetradores de cinco casos de violencia política, incluidos los dos atentados contra Trump, para notar que los agresores son hombres blancos, con acceso a armas, muchos de ellos partidarios de la derecha y otros con antecedentes penales o de enfermedades mentales.

etiquetas: agresores, kirk, trump, extrema derecha, armados, peligrosos, asesinos

» noticia original (www.sinembargo.mx)

El PP sigue resistiéndose a calificar como genocidio la masacre en Gaza, pese a que la presión internacional contra Israel va en aumento mientras el Gobierno de Benjamin Netanyahu ha iniciado la ofensiva terrestre para tomar la ciudad de Gaza.

etiquetas: gaza, israel, genocidio, internacional, sociedad

» noticia original (elpais.com)

@forocoches

Ver post completo: En USA el 64% de los niños afroamericanos son abandonados por su padre