Panoramica di Secret Manager

Secret Manager è un servizio di gestione di secret e credenziali che ti consente di archiviare e gestire dati sensibili come chiavi API, nomi utente, password, certificati e altro ancora.

Un secret è una risorsa globale che contiene una raccolta di metadati e versioni del secret. I metadati possono includere etichette, annotazioni e autorizzazioni.

Una versione del secret memorizza i dati effettivi del secret, come chiavi API, password o certificati. Ogni versione è identificata da un ID o un timestamp univoco.

Utilizzando Secret Manager, puoi:

  • Gestisci il rollback, il recupero e il controllo utilizzando le versioni: le versioni ti aiutano a gestire le implementazioni graduali e il rollback di emergenza. Se un secret viene modificato o compromesso accidentalmente, puoi ripristinare una versione precedente e funzionante. In questo modo si riducono al minimo i potenziali tempi di inattività e le violazioni della sicurezza. Il controllo delle versioni mantiene un record storico delle modifiche apportate a un secret, inclusi l'autore delle modifiche e la data e l'ora in cui sono state apportate. Ti aiuta a controllare i dati sensibili e monitorare eventuali tentativi di accesso non autorizzati. Puoi bloccare le versioni dei secret in workload specifici e aggiungere alias per accedere più facilmente ai dati dei secret. Puoi anche disattivare o eliminare le versioni del secret che non ti servono.

  • Cripta i dati sensibili in transito e at-rest: tutti i secret sono criptati per impostazione predefinita, sia in transito utilizzando TLS sia at-rest con chiavi di crittografia AES a 256 bit. Per chi richiede un controllo più granulare, puoi criptare i tuoi dati secreti con le chiavi di crittografia gestite dal cliente (CMEK). Utilizzando CMEK, puoi generare nuove chiavi di crittografia o importare quelle esistenti per soddisfare i tuoi requisiti specifici.

  • Gestisci l'accesso ai secret utilizzando ruoli e condizioni IAM (Identity and Access Management) granulari: Con ruoli e autorizzazioni IAM, puoi fornire un accesso granulare a risorse Secret Manager specifiche. Puoi separare le responsabilità per l'accesso, la gestione, il controllo e la rotazione dei secret.

  • Garantisci l'alta disponibilità e il ripristino di emergenza con la replica dei secret: puoi replicare i tuoi secret in più regioni per garantire l'alta disponibilità e il ripristino di emergenza per le tue applicazioni, indipendentemente dalla loro posizione geografica. Puoi scegliere tra i seguenti criteri di replica:

    • Replica automatica: Google decide le regioni in base a disponibilità e latenza. Ti viene addebitato un costo per una sola posizione.

    • Replica gestita dall'utente: puoi selezionare un insieme personalizzato di regioni in base ai tuoi requisiti. I costi vengono addebitati per posizione.

  • Ruota automaticamente i secret per soddisfare i requisiti di sicurezza e conformità: La rotazione dei secret protegge da accessi non autorizzati e violazioni dei dati. La modifica regolare dei secret riduce il rischio di secret obsoleti o dimenticati e garantisce la conformità a molti framework normativi che richiedono la rotazione periodica delle credenziali sensibili.

  • Imponi la residenza dei dati utilizzando i secret regionali: La residenza dei dati richiede che determinati tipi di dati, spesso appartenenti a persone o organizzazioni specifiche, vengano archiviati in una posizione geografica definita. Puoi creare secret regionali e archiviare i dati sensibili in una posizione specifica per rispettare le leggi e i regolamenti sulla sovranità dei dati.

  • Gestisci i parametri operativi per le tue applicazioni utilizzando Parameter Manager: Parameter Manager è un'estensione del servizio Secret Manager che puoi utilizzare per archiviare e gestire le configurazioni delle applicazioni, come stringhe di connessione al database, flag di funzionalità, nomi di ambiente, numeri di porta da ascoltare e impostazioni per le funzionalità delle applicazioni. Puoi anche fare riferimento ai secret archiviati in Secret Manager all'interno delle configurazioni dei parametri. Per utilizzare Parameter Manager, devi abilitare l'API Parameter Manager e concedere agli utenti i ruoli IAM richiesti.

    • Differenza tra gestione dei secret e gestione delle chiavi

    La gestione dei secret e delle chiavi sono entrambi componenti fondamentali della sicurezza dei dati, ma hanno scopi distinti e gestiscono diversi tipi di informazioni sensibili. La scelta tra la gestione dei secret e la gestione delle chiavi dipende dalle tue esigenze specifiche. Se vuoi archiviare e gestire in modo sicuro i dati riservati, un sistema di gestione dei secret è lo strumento giusto. Se vuoi gestire le chiavi di crittografia ed eseguire operazioni di crittografia, un sistema di gestione delle chiavi è la scelta migliore.

    Puoi utilizzare la seguente tabella per comprendere le differenze principali tra Secret Manager e un sistema di gestione delle chiavi, come Cloud Key Management Service(Cloud KMS).

    Funzionalità Secret Manager Cloud KMS
    Funzione principale Archivia, gestisci e accedi ai secret come blob binari o stringhe di testo. Gestisci le chiavi di crittografia e utilizzale per criptare o decriptare i dati.
    Dati archiviati Valori effettivi del secret. Con le autorizzazioni appropriate, puoi visualizzare i contenuti del secret. Chiavi crittografiche. Non puoi visualizzare, estrarre o esportare i secret crittografici effettivi (i bit e i byte) utilizzati per le operazioni di crittografia e decrittografia.
    Crittografia Crittografa i secret at-rest e in transito utilizzando Google-owned and managed keys o chiavi gestite dal cliente. Fornisce funzionalità di crittografia e decrittografia per altri servizi.
    Casi d'uso tipici Archivia informazioni relative alla configurazione, come password di database, chiavi API o certificati TLS richiesti da un'applicazione in fase di runtime. Gestire carichi di lavoro di crittografia di grandi dimensioni, ad esempio la crittografia di righe in un database o la crittografia di dati binari come immagini e file. Puoi anche utilizzare Cloud KMS per eseguire altre operazioni di crittografia come la firma e la verifica.

    Crittografia dei secret

    Secret Manager cripta sempre i dati dei secret prima che vengano resi permanenti su disco. Per scoprire di più sulle opzioni di crittografia, consulta Crittografia at-rest. Google Cloud

    Secret Manager gestisce le chiavi di crittografia lato server per tuo conto utilizzando gli stessi sistemi avanzati di gestione delle chiavi che utilizziamo per i nostri dati criptati, inclusi controlli e audit rigorosi dell'accesso alle chiavi. Secret Manager cripta i dati utente at-rest utilizzando AES-256. Non è richiesta alcuna configurazione, non è necessario modificare la modalità di accesso al servizio e non si verifica alcun impatto visibile sul rendimento. I tuoi dati sensibili vengono decriptati automaticamente e in modo trasparente quando vi accede un utente autorizzato.

    L'API Secret Manager comunica sempre tramite una connessione HTTP(S) sicura.

    Chi ha bisogno di un ulteriore livello di protezione può attivare CMEK e utilizzare le proprie chiavi di crittografia archiviate in Cloud Key Management Service per proteggere i secret archiviati in Secret Manager. Consulta la documentazione di CMEK per informazioni dettagliate su come configurare e utilizzare le chiavi di crittografia gestite dal cliente.

    Passaggi successivi