Søg

Vejledning til opsætning af Secrets Manager

Til IT-administratorer, der opsætter Secrets Manager for deres organisation.

Secrets Manager er stedet, hvor din organisation opbevarer de hemmeligheder, som dine systemer bruger, i modsætning til de adgangskoder, som dine medarbejdere bruger: databaseadgangskoder, API-tokens, forbindelsesstrenge, certifikater og SSH-nøgler. Du tilføjer og administrerer dem i Admin Portal. Dine servere, pipelines og Kubernetes-klynger læser dem med en API-nøgle, som du udsteder og kan tilbagekalde.

Hemmelige værdier, beskrivelser og tags krypteres med en nøgle, der tilhører din organisation. Uniqkey gemmer kun det krypterede resultat og kan ikke læse dem.

Før du starter

Du skal bruge:

  • En administratorkonto i Admin Portal. Supportkonti kan ikke åbne Secrets Manager, og medarbejdere kan aldrig se det.
  • Uniqkey-appen på din telefon, hvor du er logget ind på den samme konto. Secrets Manager låses op via Trusted Portal, så du godkender på din telefon.
  • Trusted Portal tilladt for din organisation under Security and access → Baseline security.
  • En plan for dine stier. Ti minutter på Planlæg dine stier nu sparer dig for en migrering senere.

Hvis maskiner skal læse hemmeligheder, skal du beslutte, hvem der ejer hver API-nøgle, og hvor den skal opbevares. En API-nøgle er i sig selv en legitimationsoplysning.

Lås op for første gang

Der er ingen nøgle, du skal oprette, gemme eller indsætte. Uniqkey opretter din organisations nøgle, første gang en administrator låser Secrets Manager op.

  1. Åbn Secrets Manager → Secrets i menuen til venstre i Admin Portal.
  2. Hvis Trusted Portal ikke er slået til i denne browser, beder portalen dig om at åbne Uniqkey på din telefon. Godkend anmodningen i appen inden for ét minut.

Herefter gælder følgende:

  • Alle administratorer bruger den samme organisationsnøgle. Hvis du mister din telefon, kan en anden administrator stadig låse Secrets Manager op. Dine hemmeligheder er ikke knyttet til én person.
  • Secrets Manager forbliver låst op, så længe Trusted Portal er slået til i denne browser. Hvis du logger ud eller slår Trusted Portal fra nederst i menuen, låses det igen. Næste gang beder din telefon om godkendelse. Log ud, når du forlader en delt computer.
  • Uniqkey kan ikke låse det op for dig. Support kan ikke læse, gendanne eller nulstille dine hemmeligheder.

Hvis du ser "The organization's Secrets Key could not be verified", skal du stoppe og kontakte Uniqkey-support. Det betyder, at din browser blev tilbudt en nøgle, som ikke er den, din organisation oprettede, og portalen nægter at bruge den.

Planlæg dine stier

Sæt miljøet først. Det er den ene beslutning, der er værd at træffe rigtigt fra starten, fordi API-nøgler er begrænset af stien.

Hver hemmelighed har en sti. Skråstreger opretter mapper:

/production/payments-api/db-password
/staging/payments-api/db-password
/production/billing/stripe-token

Med /production/... og /staging/... øverst kan du give en staging-pipeline en nøgle, der afvises for alle produktionsværdier. Hvis du organiserer efter team først, kan du ikke det.

Regler for stier:

  • Bogstaver, tal og - _ . / + = @. Ingen mellemrum, ingen //, ingen ...
  • Op til 1024 tegn og skal slutte med et navn efter den sidste /.
  • Dette er de tegn, AWS tillader, så hemmeligheder, der flyttes fra AWS, beholder deres navne.
  • Stier er ikke krypterede. Uniqkey kan se dem. Placer ikke noget følsomt i en sti.

Tilføj hemmeligheder

Én ad gangen

På fanen Secrets Store skal du vælge Create Secret og vælge en type:

  • Parameter: en enkelt værdi. En adgangskode, et token, en forbindelsesstreng eller en blok JSON. Op til 48 KB.
  • Credential: felter, der hører sammen: brugernavn, adgangskode, vært, port, domæne, TOTP-hemmelighed, privat nøgle eller certifikat samt noter. Start med en skabelon til PostgreSQL, MySQL, SQL Server, SSH, Windows/RDP eller en API-nøgle, tilføj dine egne felter, eller skift til JSON-tilstand og indsæt det hele.

Begge typer kan have en valgfri beskrivelse og tags. Udfyld beskrivelsen. Om seks måneder er det det eneste, der fortæller en kollega, hvad hemmeligheden bruges til. Tags vises, men kan endnu ikke søges efter.

Hvis der allerede findes en hemmelighed på stien, afviser portalen den og giver dig besked. Intet overskrives ved et uheld. Hvis du vil ændre en værdi, skal du åbne hemmeligheden og redigere den.

Flere på én gang fra et regneark

Brug Secrets Store → Import CSV. Vælg Download template for at se den nøjagtige overskriftsrække.

  • Filen skal være kommasepareret UTF-8 med en overskriftsrække. Hvis dit regneark gemmer med semikolon, skal du ændre separatoren, før du importerer.
  • path er påkrævet.
  • Tilføj en value-kolonne for parametre eller credential-kolonner (username, password, host, port, domain, totp, privatekey, notes) for credentials. Der må kun være én type pr. fil.
  • description og tags er valgfri. Der skelnes ikke mellem store og små bogstaver i overskriftsnavne.

Hver række kontrolleres, før noget sendes. En række med en manglende, ugyldig, for lang eller gentaget sti rapporteres med sit linjenummer og springes over. En sti, der allerede findes, rapporteres og springes over. Du kan trygt køre den samme fil igen, så en import, der kun er delvist gennemført, kræver ingen oprydning.

Hver række tæller som én anmodning. En fil med mere end cirka 300 rækker når grænsen pr. minut, og rækkerne derefter rapporteres som mislykkede. Vent et minut, og vælg Import igen for at sende resten.