Zoeken

Installatiehandleiding voor Secrets Manager

Voor IT-beheerders die Secrets Manager instellen voor hun organisatie.

Secrets Manager is de plek waar je organisatie de geheimen bewaart die je systemen gebruiken, in tegenstelling tot de wachtwoorden die je medewerkers gebruiken: databasewachtwoorden, API-tokens, verbindingsreeksen, certificaten en SSH-sleutels. Je voegt ze toe en beheert ze in de Admin Portal. Je servers, pipelines en Kubernetes-clusters lezen ze met een API-sleutel die je uitgeeft en kunt intrekken.

Geheime waarden, beschrijvingen en tags worden versleuteld met een sleutel die eigendom is van je organisatie. Uniqkey slaat alleen het versleutelde resultaat op en kan het niet lezen.

Voordat je begint

Je hebt het volgende nodig:

  • Een beheerdersaccount in de Admin Portal. Supportaccounts kunnen Secrets Manager niet openen en medewerkers zien het nooit.
  • De Uniqkey-app op je telefoon, aangemeld bij hetzelfde account. Secrets Manager wordt ontgrendeld via Trusted Portal, dus je keurt dit goed op je telefoon.
  • Trusted Portal ingeschakeld voor je organisatie, onder Beveiliging en toegang → Basisbeveiliging.
  • Een plan voor je paden. Tien minuten besteden aan Je paden plannen bespaart je later een migratie.

Als machines geheimen gaan lezen, bepaal dan wie eigenaar is van elke API-sleutel en waar deze wordt opgeslagen. Een API-sleutel is op zichzelf al een legitimatie.

De eerste keer ontgrendelen

Je hoeft geen sleutel te maken, op te slaan of te plakken. Uniqkey maakt de sleutel van je organisatie aan wanneer een beheerder Secrets Manager voor de eerste keer ontgrendelt.

  1. Open in de Admin Portal Secrets Manager → Secrets in het menu aan de linkerkant.
  2. Als Trusted Portal niet is ingeschakeld in deze browser, vraagt de portal je om Uniqkey op je telefoon te openen. Keur het verzoek binnen één minuut goed in de app.

Vanaf dat moment geldt het volgende:

  • Elke beheerder gebruikt dezelfde organisatiesleutel. Als je je telefoon kwijtraakt, kan een andere beheerder Secrets Manager nog steeds ontgrendelen. Je geheimen zijn niet aan één persoon gekoppeld.
  • Secrets Manager blijft ontgrendeld zolang Trusted Portal in deze browser is ingeschakeld. Als je uitlogt of Trusted Portal onderaan het menu uitschakelt, wordt Secrets Manager weer vergrendeld. De volgende keer vraagt je telefoon om goedkeuring. Log uit wanneer je weggaat van een gedeelde computer.
  • Uniqkey kan het niet voor je ontgrendelen. Support kan je geheimen niet lezen, herstellen of opnieuw instellen.

Als je "De Secrets Key van de organisatie kan niet worden geverifieerd" ziet, stop dan en neem contact op met Uniqkey-support. Dit betekent dat je browser een sleutel heeft aangeboden die niet de sleutel is die je organisatie heeft aangemaakt. De portal weigert deze daarom te gebruiken.

Je paden plannen

Begin met de omgeving. Dit is de enige beslissing die je meteen goed moet nemen, omdat API-sleutels worden beperkt door het pad.

Elk geheim heeft een pad. Met schuine strepen maak je mappen:

/production/payments-api/db-password
/staging/payments-api/db-password
/production/billing/stripe-token

Met /production/... en /staging/... bovenaan kun je een staging-pipeline een sleutel geven die voor elke productiewaarde wordt geweigerd. Als je eerst op team organiseert, kan dat niet.

Regels voor paden:

  • Letters, cijfers en - _ . / + = @. Geen spaties, geen // en geen ...
  • Maximaal 1024 tekens, eindigend met een naam na de laatste /.
  • Dit zijn de tekens die AWS toestaat, zodat geheimen die vanuit AWS worden verplaatst hun namen behouden.
  • Paden zijn niet versleuteld. Uniqkey kan ze zien. Zet niets gevoeligs in een pad.

Geheimen toevoegen

Eén tegelijk

Selecteer op het tabblad Secrets Store de optie Secret maken en kies een type:

  • Parameter: één waarde. Een wachtwoord, een token, een verbindingsreeks of een JSON-blok. Maximaal 48 KB.
  • Credential: velden die bij elkaar horen: gebruikersnaam, wachtwoord, host, poort, domein, TOTP-geheim, privésleutel of certificaat en notities. Begin met een sjabloon voor PostgreSQL, MySQL, SQL Server, SSH, Windows/RDP of een API-sleutel, voeg je eigen velden toe of schakel over naar de JSON-modus en plak het geheel.

Voor beide typen zijn een optionele beschrijving en tags mogelijk. Vul de beschrijving in. Over zes maanden is dit het enige dat een collega vertelt waarvoor het geheim dient. Tags worden weergegeven, maar er kan nog niet op worden gezocht.

Als er al een geheim op het pad bestaat, weigert de portal dit en laat deze je dat weten. Er wordt niets per ongeluk overschreven. Als je een waarde wilt wijzigen, open je het geheim en bewerk je het.

Meerdere tegelijk, vanuit een spreadsheet

Gebruik Secrets Store → CSV importeren. Selecteer Sjabloon downloaden voor de exacte koptekstrij.

  • Het bestand moet UTF-8 zijn, door komma's gescheiden en een koptekstrij bevatten. Als je spreadsheet bestanden met puntkomma's opslaat, wijzig je het scheidingsteken voordat je importeert.
  • path is verplicht.
  • Voeg een kolom value toe voor parameters, of credentialkolommen (username, password, host, port, domain, totp, privatekey, notes) voor credentials. Gebruik één type per bestand.
  • description en tags zijn optioneel. Namen van kopteksten zijn niet hoofdlettergevoelig.

Elke rij wordt gecontroleerd voordat er iets wordt verzonden. Een rij met een ontbrekend, ongeldig, te lang of herhaald pad wordt met het regelnummer gemeld en overgeslagen. Een pad dat al bestaat, wordt gemeld en overgeslagen. Je kunt hetzelfde bestand veilig opnieuw uitvoeren, zodat een gedeeltelijk voltooide import niet hoeft te worden opgeschoond.

Elke rij telt als één verzoek. Een bestand met meer dan ongeveer 300 rijen bereikt de limiet per minuut en de rijen daarna worden als mislukt gemeld. Wacht een minuut en selecteer opnieuw Importeren om de rest te verzenden.