Búsqueda

Guía de configuración de Secrets Manager

Para administradores de TI que configuran Secrets Manager para su organización.

Secrets Manager es donde su organización guarda los secretos que usan sus sistemas, a diferencia de las contraseñas que usan sus personas: contraseñas de bases de datos, tokens de API, cadenas de conexión, certificados y claves SSH. Puede añadirlos y gestionarlos en el Portal de administración. Sus servidores, pipelines y clústeres de Kubernetes los leen con una clave de API que usted emite y puede revocar.

Los valores, las descripciones y las etiquetas de los secretos están cifrados con una clave que pertenece a su organización. Uniqkey solo almacena el resultado cifrado y no puede leerlos.

Antes de empezar

Necesita:

  • Una cuenta de administrador en el Portal de administración. Las cuentas de soporte no pueden abrir Secrets Manager y los empleados nunca lo ven.
  • La aplicación de Uniqkey en su teléfono, con la sesión iniciada en la misma cuenta. Secrets Manager se desbloquea mediante Trusted Portal, por lo que debe aprobarlo en su teléfono.
  • Trusted Portal permitido para su organización, en Seguridad y acceso → Seguridad de referencia.
  • Un plan para sus rutas. Diez minutos en Planifique sus rutas ahora le ahorrarán una migración más adelante.

Si las máquinas van a leer secretos, decida quién es el propietario de cada clave de API y dónde se almacenará. Una clave de API es una credencial por derecho propio.

Desbloquearlo por primera vez

No tiene que crear, almacenar ni pegar ninguna clave. Uniqkey crea la clave de su organización la primera vez que un administrador desbloquea Secrets Manager.

  1. En el Portal de administración, abra Secrets Manager → Secretos en el menú de la izquierda.
  2. Si Trusted Portal no está activado en este navegador, el portal le pedirá que abra Uniqkey en su teléfono. Apruebe la solicitud en la aplicación en el plazo de un minuto.

A partir de entonces:

  • Todos los administradores utilizan la misma clave de la organización. Si pierde su teléfono, otro administrador puede seguir desbloqueando Secrets Manager. Sus secretos no están vinculados a una sola persona.
  • Secrets Manager permanece desbloqueado mientras Trusted Portal esté activado en este navegador. Cerrar sesión o desactivar Trusted Portal en la parte inferior del menú lo vuelve a bloquear. La próxima vez, su teléfono solicitará aprobación. Cierre sesión cuando se aleje de una máquina compartida.
  • Uniqkey no puede desbloquearlo por usted. El equipo de soporte no puede leer, recuperar ni restablecer sus secretos.

Si ve "No se pudo verificar la clave de secretos de la organización", deténgase y póngase en contacto con el equipo de soporte de Uniqkey. Significa que a su navegador se le ofreció una clave que no es la que creó su organización y el portal se niega a utilizarla.

Planifique sus rutas

Dé prioridad al entorno. Esta es la única decisión que merece la pena tomar correctamente desde el principio, porque las claves de API están limitadas por la ruta.

Cada secreto tiene una ruta. Las barras crean carpetas:

/production/payments-api/db-password
/staging/payments-api/db-password
/production/billing/stripe-token

Con /production/... y /staging/... en el nivel superior, puede proporcionar a un pipeline de staging una clave que sea rechazada para cualquier valor de producción. Si organiza primero por equipo, no podrá hacerlo.

Reglas para las rutas:

  • Letras, números y - _ . / + = @. Sin espacios, sin // ni ...
  • Hasta 1024 caracteres y debe terminar con un nombre después de la última /.
  • Estos son los caracteres que permite AWS, por lo que los secretos trasladados desde AWS conservan sus nombres.
  • Las rutas no están cifradas. Uniqkey puede verlas. No incluya nada sensible en una ruta.

Añadir secretos

Uno a uno

En la pestaña Almacén de secretos, seleccione Crear secreto y elija un tipo:

  • Parámetro: un único valor. Una contraseña, un token, una cadena de conexión o un bloque de JSON. Hasta 48 KB.
  • Credencial: campos que pertenecen juntos: nombre de usuario, contraseña, host, puerto, dominio, secreto TOTP, clave privada o certificado, y notas. Empiece con una plantilla para PostgreSQL, MySQL, SQL Server, SSH, Windows/RDP o una clave de API, añada sus propios campos o cambie al modo JSON y pegue todo el contenido.

Ambos tipos admiten una descripción y etiquetas opcionales. Rellene la descripción. Dentro de seis meses, será lo único que indique a un colega para qué sirve el secreto. Las etiquetas se muestran, pero todavía no se pueden buscar.

Si ya existe un secreto en la ruta, el portal lo rechaza y se lo indica. No se sobrescribe nada por accidente. Para cambiar un valor, abra el secreto y edítelo.

Varios a la vez, desde una hoja de cálculo

Utilice Almacén de secretos → Importar CSV. Seleccione Descargar plantilla para obtener la fila de encabezados exacta.

  • El archivo debe estar separado por comas, en formato UTF-8 y con una fila de encabezados. Si su hoja de cálculo se guarda con punto y coma, cambie el separador antes de importarlo.
  • path es obligatorio.
  • Añada una columna value para los parámetros o columnas de credenciales (username, password, host, port, domain, totp, privatekey, notes) para las credenciales. Un tipo por archivo.
  • description y tags son opcionales. Los nombres de los encabezados no distinguen entre mayúsculas y minúsculas.

Cada fila se comprueba antes de enviar cualquier elemento. Las filas con una ruta ausente, no válida, demasiado larga o repetida se indican con su número de línea y se omiten. Si una ruta ya existe, se indica y se omite. Puede ejecutar el mismo archivo de nuevo de forma segura, por lo que una importación incompleta no requiere ninguna limpieza.

Cada fila cuenta como una solicitud. Un archivo con más de unas 300 filas alcanza el límite por minuto y las filas posteriores se indican como fallidas. Espere un minuto y vuelva a seleccionar Importar para enviar el resto.