Einrichtungsanleitung für Secrets Manager

Secrets Manager ist der Ort, an dem Ihre Organisation die Secrets aufbewahrt, die Ihre Systeme verwenden – im Gegensatz zu den Passwörtern, die Ihre Mitarbeiter verwenden: Datenbankpasswörter, API-Tokens, Verbindungszeichenfolgen, Zertifikate und SSH-Schlüssel. Sie fügen sie im Admin Portal hinzu und verwalten sie dort. Ihre Server, Pipelines und Kubernetes-Cluster lesen sie mit einem API-Schlüssel, den Sie ausstellen und widerrufen können.

Secret-Werte, Beschreibungen und Tags werden mit einem Schlüssel verschlüsselt, der Ihrer Organisation gehört. Uniqkey speichert nur das verschlüsselte Ergebnis und kann sie nicht lesen.

Bevor Sie beginnen

Sie benötigen:

• Ein Administratorkonto im Admin Portal. Supportkonten können Secrets Manager nicht öffnen, und Mitarbeiter sehen ihn nie.
• Die Uniqkey-App auf Ihrem Telefon, angemeldet mit demselben Konto. Secrets Manager wird über Trusted Portal entsperrt, daher bestätigen Sie die Aktion auf Ihrem Telefon.
• Trusted Portal für Ihre Organisation aktiviert, unter Sicherheit und Zugriff → Basissicherheit.
• Einen Plan für Ihre Pfade. Zehn Minuten für Ihre Pfade planen ersparen Ihnen später eine Migration.

Wenn Maschinen Secrets lesen, legen Sie fest, wem jeder API-Schlüssel gehört und wo er gespeichert wird. Ein API-Schlüssel ist selbst ein Zugangsschlüssel.

Zum ersten Mal entsperren

Sie müssen keinen Schlüssel erstellen, speichern oder einfügen. Uniqkey erstellt den Schlüssel Ihrer Organisation, wenn ein Administrator Secrets Manager zum ersten Mal entsperrt.

1. Öffnen Sie im Admin Portal Secrets Manager → Secrets im Menü auf der linken Seite.
2. Wenn Trusted Portal in diesem Browser nicht aktiviert ist, fordert das Portal Sie auf, Uniqkey auf Ihrem Telefon zu öffnen. Bestätigen Sie die Anfrage innerhalb einer Minute in der App.

Danach gilt:

• Jeder Administrator verwendet denselben Organisationsschlüssel. Wenn Sie Ihr Telefon verlieren, kann ein anderer Administrator Secrets Manager trotzdem entsperren. Ihre Secrets sind nicht an eine einzelne Person gebunden.
• Secrets Manager bleibt entsperrt, solange Trusted Portal in diesem Browser aktiviert ist. Wenn Sie sich abmelden oder Trusted Portal unten im Menü deaktivieren, wird es wieder gesperrt. Beim nächsten Mal fordert Ihr Telefon eine Bestätigung an. Melden Sie sich ab, wenn Sie einen gemeinsam genutzten Computer verlassen.
• Uniqkey kann Secrets Manager nicht für Sie entsperren. Der Support kann Ihre Secrets nicht lesen, wiederherstellen oder zurücksetzen.

Ihre Pfade planen

Jedes Secret hat einen Pfad. Schrägstriche erstellen Ordner:

/production/payments-api/db-password
/staging/payments-api/db-password
/production/billing/stripe-token

Mit /production/... und /staging/... an der obersten Ebene können Sie einem Staging-Pipeline einen Schlüssel geben, der für jeden Produktionswert abgelehnt wird. Wenn Sie zuerst nach Team organisieren, ist das nicht möglich.

Regeln für Pfade:

• Buchstaben, Zahlen und - _ . / + = @. Keine Leerzeichen, kein //, kein ...
• Bis zu 1024 Zeichen, mit einem Namen nach dem letzten / endend.
• Dies sind die von AWS zugelassenen Zeichen, sodass aus AWS verschobene Secrets ihre Namen behalten.
• Pfade werden nicht verschlüsselt. Uniqkey kann sie sehen. Fügen Sie keine sensiblen Informationen in einen Pfad ein.

Secrets hinzufügen

Einzeln

Wählen Sie auf der Registerkarte Secrets Store die Option Secret erstellen und wählen Sie einen Typ:

• Parameter: ein einzelner Wert. Ein Passwort, ein Token, eine Verbindungszeichenfolge oder ein JSON-Block. Bis zu 48 KB.
• Anmeldedaten: zusammengehörige Felder: Benutzername, Passwort, Host, Port, Domäne, TOTP-Secret, privater Schlüssel oder Zertifikat sowie Notizen. Beginnen Sie mit einer Vorlage für PostgreSQL, MySQL, SQL Server, SSH, Windows/RDP oder einen API-Schlüssel, fügen Sie eigene Felder hinzu oder wechseln Sie in den JSON-Modus und fügen Sie den gesamten Inhalt ein.

Beide Typen können eine optionale Beschreibung und Tags enthalten. Füllen Sie die Beschreibung aus. In sechs Monaten ist sie das Einzige, woran ein Kollege erkennen kann, wofür das Secret bestimmt ist. Tags werden angezeigt, können aber derzeit nicht durchsucht werden.

Wenn am Pfad bereits ein Secret vorhanden ist, lehnt das Portal den Vorgang ab und informiert Sie darüber. Nichts wird versehentlich überschrieben. Um einen Wert zu ändern, öffnen Sie das Secret und bearbeiten Sie es.

Mehrere gleichzeitig aus einer Tabellenkalkulation

Verwenden Sie Secrets Store → CSV importieren. Wählen Sie Vorlage herunterladen, um die genaue Kopfzeile zu erhalten.

• Die Datei muss eine durch Kommas getrennte UTF-8-Datei mit einer Kopfzeile sein. Wenn Ihre Tabellenkalkulation Dateien mit Semikolons speichert, ändern Sie das Trennzeichen vor dem Import.
• path ist erforderlich.
• Fügen Sie für Parameter eine Spalte value hinzu, oder für Anmeldedaten Spalten für Anmeldedaten (username, password, host, port, domain, totp, privatekey, notes). Pro Datei darf nur ein Typ verwendet werden.
• description und tags sind optional. Bei den Namen der Kopfzeilen wird nicht zwischen Groß- und Kleinschreibung unterschieden.

Jede Zeile wird überprüft, bevor etwas gesendet wird. Eine Zeile mit einem fehlenden, ungültigen, zu langen oder doppelten Pfad wird zusammen mit ihrer Zeilennummer gemeldet und übersprungen. Ein bereits vorhandener Pfad wird gemeldet und übersprungen. Sie können dieselbe Datei sicher erneut ausführen, sodass ein unvollständiger Import keine Bereinigung erfordert.

Jede Zeile zählt als eine Anfrage. Eine Datei mit mehr als etwa 300 Zeilen erreicht das Limit pro Minute, und die danach folgenden Zeilen werden als fehlgeschlagen gemeldet. Warten Sie eine Minute und wählen Sie erneut Importieren, um den Rest zu senden.