Panoramica di Secret Manager

Secret Manager è un servizio di gestione di secret e credenziali che ti consente di archiviare e gestire dati sensibili come chiavi API, nomi utente, password, certificati e altro ancora.

Un secret è una risorsa globale che contiene una raccolta di metadati e versioni del secret. I metadati possono includere etichette, annotazioni e autorizzazioni.

Una versione del secret memorizza i dati effettivi del secret, come chiavi API, password o certificati. Ogni versione è identificata da un ID o un timestamp univoco.

Utilizzando Secret Manager, puoi:

  • Gestisci il rollback, il recupero e il controllo utilizzando le versioni: le versioni ti aiutano a gestire le implementazioni graduali e il rollback di emergenza. Se un secret viene modificato o compromesso accidentalmente, puoi ripristinare una versione precedente e funzionante. In questo modo si riducono al minimo i potenziali tempi di inattività e le violazioni della sicurezza. Il controllo delle versioni mantiene un record storico delle modifiche apportate a un secret, inclusi l'autore e la data delle modifiche. Ti aiuta a controllare i dati sensibili e monitorare eventuali tentativi di accesso non autorizzati. Puoi bloccare le versioni dei secret in workload specifici e aggiungere alias per accedere più facilmente ai dati dei secret. Puoi anche disattivare o eliminare le versioni del secret che non ti servono.

  • Cripta i dati sensibili in transito e at-rest: tutti i secret sono criptati per impostazione predefinita, sia in transito utilizzando TLS sia at-rest con chiavi di crittografia AES a 256 bit. Per chi ha bisogno di un controllo più granulare, puoi criptare i tuoi dati sensibili con le chiavi di crittografia gestite dal cliente (CMEK). Utilizzando CMEK, puoi generare nuove chiavi di crittografia o importare quelle esistenti per soddisfare i tuoi requisiti specifici.

  • Gestisci l'accesso ai secret utilizzando ruoli e condizioni IAM (Identity and Access Management) granulari: con ruoli e autorizzazioni IAM, puoi fornire un accesso granulare a risorse Secret Manager specifiche. Puoi separare le responsabilità per l'accesso, la gestione, il controllo e la rotazione dei secret.

  • Garantire l'alta disponibilità e il ripristino di emergenza con la replica dei secret: puoi replicare i secret in più regioni per garantire l'alta disponibilità e il ripristino di emergenza per le tue applicazioni, indipendentemente dalla loro posizione geografica. Puoi scegliere tra le seguenti policy di replica:

    • Replica automatica: Google Cloud decide le regioni in base a disponibilità e latenza. Ti viene addebitato un costo per una sola posizione.

    • Replica gestita dall'utente: puoi selezionare un insieme personalizzato di regioni in base ai tuoi requisiti. Ti viene addebitato un costo per ogni posizione.

  • Ruota automaticamente i secret per soddisfare i requisiti di sicurezza e conformità: La rotazione dei secret protegge da accessi non autorizzati e violazioni dei dati. La modifica regolare dei secret riduce il rischio di secret obsoleti o dimenticati e garantisce la conformità a molti quadri normativi che richiedono la rotazione periodica delle credenziali sensibili.

  • Imponi la residenza dei dati utilizzando i secret regionali: La residenza dei dati richiede che determinati tipi di dati, spesso appartenenti a persone o organizzazioni specifiche, vengano archiviati in una posizione geografica definita. Puoi creare secret regionali e archiviare i dati sensibili in una posizione specifica per rispettare le leggi e i regolamenti sulla sovranità dei dati.

  • Gestisci i parametri operativi per le tue applicazioni utilizzando Parameter Manager: Parameter Manager è un'estensione del servizio Secret Manager che puoi utilizzare per archiviare e gestire le configurazioni delle applicazioni, come stringhe di connessione al database, flag di funzionalità, nomi di ambiente, numeri di porta da ascoltare e impostazioni per le funzionalità delle applicazioni. Puoi anche fare riferimento ai secret archiviati in Secret Manager all'interno delle configurazioni dei parametri. Per utilizzare Parameter Manager, devi abilitare l'API Parameter Manager e concedere agli utenti i ruoli IAM richiesti.

    • Differenza tra gestione dei secret e gestione delle chiavi

    La gestione dei secret e delle chiavi sono entrambi componenti fondamentali della sicurezza dei dati, ma hanno scopi distinti e gestiscono diversi tipi di informazioni sensibili. La scelta tra la gestione dei secret e la gestione delle chiavi dipende dalle tue esigenze specifiche. Se vuoi archiviare e gestire in modo sicuro i dati riservati, un sistema di gestione dei secret è lo strumento giusto. Se vuoi gestire le chiavi di crittografia ed eseguire operazioni di crittografia, un sistema di gestione delle chiavi è la scelta migliore.

    Puoi utilizzare la seguente tabella per comprendere le differenze principali tra Secret Manager e un sistema di gestione delle chiavi, come Cloud Key Management Service(Cloud KMS).

    Funzionalità Secret Manager Cloud KMS
    Funzione principale Archivia, gestisci e accedi ai secret come blob binari o stringhe di testo. Gestisci le chiavi di crittografia e utilizzale per criptare o decriptare i dati.
    Dati archiviati Valori effettivi del secret. Con le autorizzazioni appropriate, puoi visualizzare i contenuti del secret. Chiavi crittografiche. Non puoi visualizzare, estrarre o esportare i secret crittografici effettivi (i bit e i byte) utilizzati per le operazioni di crittografia e decrittografia.
    Crittografia Crittografa i secret at-rest e in transito utilizzando Google-owned and managed keys o chiavi gestite dal cliente. Fornisce funzionalità di crittografia e decriptazione per altri servizi.
    Casi d'uso tipici Archivia informazioni relative alla configurazione, come password di database, chiavi API o certificati TLS richiesti da un'applicazione in fase di runtime. Gestire carichi di lavoro di crittografia di grandi dimensioni, ad esempio la crittografia di righe in un database o la crittografia di dati binari come immagini e file. Puoi anche utilizzare Cloud KMS per eseguire altre operazioni di crittografia come la firma e la verifica.

    Crittografia dei secret

    Secret Manager cripta sempre i dati dei secret prima che vengano resi permanenti su disco. Per scoprire di più sulle opzioni di crittografia, consulta Crittografia at-rest. Google Cloud

    Secret Manager gestisce le chiavi di crittografia lato server per tuo conto utilizzando gli stessi sistemi avanzati di gestione delle chiavi che utilizziamo per i nostri dati criptati, inclusi controlli e audit rigorosi dell'accesso alle chiavi. Secret Manager cripta i dati utente at-rest utilizzando AES-256. Non è richiesta alcuna configurazione, non è necessario modificare la modalità di accesso al servizio e non si verifica alcun impatto visibile sul rendimento. I tuoi dati sensibili vengono decriptati automaticamente e in modo trasparente quando vengono consultati da un utente autorizzato.

    L'API Secret Manager comunica sempre tramite una connessione HTTP(S) sicura.

    Chi ha bisogno di un ulteriore livello di protezione può attivare CMEK e utilizzare le proprie chiavi di crittografia archiviate in Cloud Key Management Service per proteggere i secret archiviati in Secret Manager. Per informazioni dettagliate su come configurare e utilizzare le chiavi di crittografia gestite dal cliente, consulta la documentazione di CMEK.

    Passaggi successivi