Szukaj

Przewodnik konfiguracji Secrets Manager

Dla administratorów IT konfigurujących Secrets Manager dla swojej organizacji.

Secrets Manager to miejsce, w którym organizacja przechowuje sekrety używane przez systemy, w odróżnieniu od haseł używanych przez ludzi: hasła do baz danych, tokeny API, parametry połączeń, certyfikaty i klucze SSH. Dodajesz nimi zarządzasz w Admin Portal. Serwery, potoki i klastry Kubernetes odczytują je za pomocą wydanego przez Ciebie klucza API, który możesz unieważnić.

Wartości sekretów, opisy i tagi są szyfrowane kluczem należącym do Twojej organizacji. Uniqkey przechowuje wyłącznie zaszyfrowany wynik i nie może ich odczytać.

Zanim zaczniesz

Potrzebujesz:

  • konta administratora w Admin Portal. Konta pomocy technicznej nie mogą otwierać Secrets Manager, a pracownicy nigdy go nie widzą.
  • aplikacji Uniqkey na telefonie, zalogowanej na to samo konto. Secrets Manager odblokowuje się przez Trusted Portal, więc zatwierdzasz operację na telefonie.
  • włączonego Trusted Portal dla swojej organizacji, w sekcji Bezpieczeństwo i dostęp → Podstawowe zabezpieczenia.
  • planu ścieżek. Dziesięć minut poświęconych teraz na planowanie ścieżek pozwoli uniknąć późniejszej migracji.

Jeśli sekrety będą odczytywane przez maszyny, ustal, kto odpowiada za każdy klucz API i gdzie będzie on przechowywany. Klucz API jest samodzielnym poświadczeniem.

Odblokuj po raz pierwszy

Nie musisz tworzyć, przechowywać ani wklejać żadnego klucza. Uniqkey tworzy klucz Twojej organizacji przy pierwszym odblokowaniu Secrets Manager przez administratora.

  1. W Admin Portal otwórz Secrets Manager → Sekrety w menu po lewej stronie.
  2. Jeśli Trusted Portal nie jest włączony w tej przeglądarce, portal poprosi Cię o otwarcie Uniqkey na telefonie. Zatwierdź żądanie w aplikacji w ciągu jednej minuty.

Od tej pory:

  • Każdy administrator korzysta z tego samego klucza organizacji. Jeśli stracisz telefon, inny administrator nadal będzie mógł odblokować Secrets Manager. Twoje sekrety nie są powiązane z jedną osobą.
  • Secrets Manager pozostaje odblokowany, gdy Trusted Portal jest włączony w tej przeglądarce. Wylogowanie lub wyłączenie Trusted Portal na dole menu ponownie go zablokuje. Następnym razem telefon poprosi o zatwierdzenie. Wyloguj się, gdy odchodzisz od współdzielonego komputera.
  • Uniqkey nie może odblokować go za Ciebie. Pomoc techniczna nie może odczytać, odzyskać ani zresetować Twoich sekretów.

Jeśli zobaczysz komunikat „Nie udało się zweryfikować klucza Secrets Key organizacji”, zatrzymaj się i skontaktuj z pomocą techniczną Uniqkey. Oznacza to, że przeglądarce zaoferowano klucz, który nie jest kluczem utworzonym przez Twoją organizację, dlatego portal odmawia jego użycia.

Zaplanuj ścieżki

Najpierw określ środowisko. To jedyna decyzja, którą warto podjąć właściwie na początku, ponieważ klucze API są ograniczone ścieżką.

Każdy sekret ma ścieżkę. Ukośniki tworzą foldery:

/production/payments-api/db-password
/staging/payments-api/db-password
/production/billing/stripe-token

Dzięki umieszczeniu /production/... i /staging/... na początku możesz nadać potokowi środowiska staging klucz, który nie pozwoli odczytać żadnej wartości produkcyjnej. Jeśli najpierw uporządkujesz ścieżki według zespołów, nie będzie to możliwe.

Zasady dotyczące ścieżek:

  • Litery, cyfry i znaki - _ . / + = @. Bez spacji, bez // i bez ...
  • Do 1024 znaków, z nazwą po ostatnim /.
  • Są to znaki dozwolone przez AWS, więc sekrety przeniesione z AWS zachowają swoje nazwy.
  • Ścieżki nie są szyfrowane. Uniqkey może je zobaczyć. Nie umieszczaj w ścieżce żadnych poufnych informacji.

Dodawanie sekretów

Pojedynczo

Na karcie Magazyn sekretów wybierz Utwórz sekret i wybierz typ:

  • Parametr: pojedyncza wartość. Hasło, token, parametr połączenia, blok JSON. Do 48 KB.
  • Poświadczenie: powiązane ze sobą pola: nazwa użytkownika, hasło, host, port, domena, sekret TOTP, klucz prywatny lub certyfikat oraz notatki. Zacznij od szablonu dla PostgreSQL, MySQL, SQL Server, SSH, Windows/RDP lub klucza API, dodaj własne pola albo przełącz się na tryb JSON i wklej całość.

Oba typy mogą zawierać opcjonalny opis i tagi. Uzupełnij opis. Za sześć miesięcy będzie to jedyna informacja, która powie współpracownikowi, do czego służy sekret. Tagi są wyświetlane, ale nie można ich jeszcze wyszukiwać.

Jeśli podana ścieżka już istnieje, portal odmówi wykonania operacji i poinformuje Cię o tym. Nic nie zostanie przypadkowo nadpisane. Aby zmienić wartość, otwórz sekret i go edytuj.

Wiele naraz z arkusza kalkulacyjnego

Użyj opcji Magazyn sekretów → Importuj CSV. Wybierz Pobierz szablon, aby uzyskać dokładny wiersz nagłówków.

  • Plik musi być plikiem UTF-8 rozdzielanym przecinkami i zawierać wiersz nagłówków. Jeśli arkusz zapisuje pliki z użyciem średników, zmień separator przed importem.
  • Wymagana jest kolumna path.
  • Dodaj kolumnę value dla parametrów lub kolumny poświadczeń (username, password, host, port, domain, totp, privatekey, notes) dla poświadczeń. Jeden typ na plik.
  • description i tags są opcjonalne. Wielkość liter w nazwach nagłówków nie ma znaczenia.

Każdy wiersz jest sprawdzany, zanim cokolwiek zostanie wysłane. Wiersz z brakującą, nieprawidłową, zbyt długą lub powtórzoną ścieżką zostaje zgłoszony z numerem wiersza i pominięty. Ścieżka, która już istnieje, zostaje zgłoszona i pominięta. Możesz bezpiecznie ponownie uruchomić ten sam plik, więc częściowo zakończony import nie wymaga sprzątania.

Każdy wiersz jest liczony jako jedno żądanie. Plik zawierający ponad około 300 wierszy osiąga limit na minutę, a wiersze znajdujące się za limitem zostaną zgłoszone jako nieudane. Odczekaj minutę i ponownie wybierz Importuj, aby wysłać pozostałe wiersze.