Présentation de Secret Manager

Secret Manager est un service de gestion des secrets et des identifiants qui vous permet de stocker et de gérer des données sensibles telles que des clés API, des noms d'utilisateur, des mots de passe, des certificats, etc.

Un secret est une ressource globale qui contient un ensemble de métadonnées et de versions de secrets. Les métadonnées peuvent inclure des libellés, des annotations et des autorisations.

Une version de secret stocke les données réelles du secret, comme les clés API, les mots de passe ou les certificats. Chaque version est identifiée par un ID ou un code temporel unique.

Secret Manager vous permet d'effectuer les opérations suivantes :

  • Gérer le rollback, la récupération et l'audit à l'aide des versions : les versions vous aident à gérer les déploiements progressifs et les rollbacks d'urgence. Si un secret est modifié ou compromis accidentellement, vous pouvez revenir à une version antérieure qui fonctionnait correctement. Cela permet de minimiser les temps d'arrêt potentiels et les failles de sécurité. Le versioning conserve un historique des modifications apportées à un secret, y compris l'auteur et la date de chaque modification. Elle vous aide à auditer les données secrètes et à suivre les tentatives d'accès non autorisées. Vous pouvez épingler des versions de secrets à des charges de travail spécifiques et ajouter des alias pour accéder plus facilement aux données secrètes. Vous pouvez également désactiver ou détruire les versions de secrets dont vous n'avez pas besoin.

  • Chiffrez vos données secrètes en transit et au repos : tous les secrets sont chiffrés par défaut, à la fois en transit à l'aide de TLS et au repos avec des clés de chiffrement AES-256. Si vous avez besoin d'un contrôle plus précis, vous pouvez chiffrer vos données secrètes avec des clés de chiffrement gérées par le client (CMEK). Avec les CMEK, vous pouvez générer de nouvelles clés de chiffrement ou en importer d'existantes pour répondre à vos besoins spécifiques.

  • Gérez l'accès aux secrets à l'aide de rôles et de conditions IAM (Identity and Access Management) précis : Avec les rôles et autorisations IAM, vous pouvez fournir un accès précis à des ressources Secret Manager spécifiques. Vous pouvez séparer les responsabilités pour l'accès, la gestion, l'audit et la rotation des secrets.

  • Assurez la haute disponibilité et la reprise après sinistre grâce à la réplication des secrets : vous pouvez répliquer vos secrets dans plusieurs régions pour assurer la haute disponibilité et la reprise après sinistre de vos applications, quelle que soit leur situation géographique. Vous pouvez choisir l'une des règles de réplication suivantes :

    • Réplication automatique : Google choisit les régions en fonction de la disponibilité et de la latence. Vous n'êtes facturé que pour un seul emplacement.

    • Réplication gérée par l'utilisateur : vous pouvez sélectionner un ensemble personnalisé de régions en fonction de vos besoins. Vous êtes facturé par établissement.

  • Faites pivoter automatiquement les secrets pour répondre à vos exigences de sécurité et de conformité : Faire pivoter vos secrets protège contre les accès non autorisés et les violations de données. La modification régulière de vos secrets réduit le risque de secrets obsolètes ou oubliés, et assure la conformité avec de nombreux cadres réglementaires qui exigent la rotation périodique des identifiants sensibles.

  • Appliquer la résidence des données à l'aide de secrets régionaux : La résidence des données exige que certains types de données, appartenant souvent à des personnes ou organisations spécifiques, soient stockés dans un emplacement géographique défini. Vous pouvez créer des secrets régionaux et stocker vos données sensibles dans un emplacement spécifique pour respecter les lois et réglementations sur la souveraineté des données.

  • Gérez les paramètres opérationnels de vos applications à l'aide de Parameter Manager : Parameter Manager est une extension du service Secret Manager que vous pouvez utiliser pour stocker et gérer les configurations d'application, telles que les chaînes de connexion à la base de données, les indicateurs de fonctionnalité, les noms d'environnement, les numéros de port à écouter et les paramètres des fonctionnalités de l'application. Vous pouvez également faire référence à des secrets stockés dans Secret Manager dans vos configurations de paramètres. Pour utiliser le Gestionnaire de paramètres, vous devez activer l'API Parameter Manager et attribuer les rôles IAM requis à vos utilisateurs.

    • Différence entre la gestion des secrets et la gestion des clés

    La gestion des secrets et la gestion des clés sont deux éléments essentiels de la sécurité des données, mais elles ont des objectifs distincts et traitent différents types d'informations sensibles. Le choix entre la gestion des secrets et la gestion des clés dépend de vos besoins spécifiques. Si vous souhaitez stocker et gérer des données confidentielles de manière sécurisée, un système de gestion des secrets est l'outil idéal. Si vous souhaitez gérer des clés de chiffrement et effectuer des opérations cryptographiques, un système de gestion des clés est le meilleur choix.

    Vous pouvez utiliser le tableau suivant pour comprendre les principales différences entre Secret Manager et un système de gestion des clés, tel que Cloud Key Management Service(Cloud KMS).

    Fonctionnalité Secret Manager Cloud KMS
    Fonction principale Stocker, gérer et accéder aux secrets sous forme de blobs binaires ou de chaînes de texte. Gérez les clés cryptographiques et utilisez-les pour chiffrer ou déchiffrer des données.
    Données enregistrées Valeurs réelles des secrets. Muni des autorisations appropriées, vous pouvez afficher le contenu du secret. Clés cryptographiques. Vous ne pouvez pas afficher, extraire ni exporter les secrets de chiffrement réels (les bits et les octets) utilisés pour les opérations de chiffrement et de déchiffrement.
    Chiffrement Chiffre les secrets au repos et en transit à l'aide de Google-owned and managed keys ou de clés gérées par le client. Fournit des fonctionnalités de chiffrement et de déchiffrement pour d'autres services.
    Cas d'utilisation types Stockez les informations de configuration telles que les mots de passe de base de données, les clés API ou les certificats TLS requis par une application lors de son exécution. Gérer des charges de travail de chiffrement volumineuses, par exemple pour chiffrer des lignes dans une base de données ou des données binaires comme des images et des fichiers. Vous pouvez également utiliser Cloud KMS pour effectuer d'autres opérations de chiffrement comme la signature et la validation.

    Chiffrement des secrets

    Secret Manager chiffre toujours vos données secrètes avant qu'elles ne soient conservées sur le disque. Pour en savoir plus sur les options de chiffrement de Google Cloud , consultez Chiffrement au repos.

    Secret Manager gère les clés de chiffrement côté serveur en votre nom à l'aide des mêmes systèmes de gestion de clés renforcés que nous utilisons pour nos propres données chiffrées, y compris les audits et les contrôles stricts d'accès aux clés. Secret Manager chiffre les données utilisateur au repos à l'aide de l'algorithme AES-256. Aucune installation ou configuration n'est requise. Par ailleurs, il n'est pas nécessaire de modifier le mode d'accès au service, et aucun impact visible sur les performances n'est constaté. Les données des secrets sont déchiffrées automatiquement et de manière transparente lorsqu'un utilisateur autorisé y accède.

    L'API Secret Manager communique toujours via une connexion HTTP(S) sécurisée.

    Les utilisateurs qui ont besoin d'une couche de protection supplémentaire peuvent activer CMEK et utiliser leurs propres clés de chiffrement stockées dans Cloud Key Management Service pour protéger les secrets stockés dans Secret Manager. Pour en savoir plus sur la configuration et l'utilisation des clés de chiffrement gérées par le client, consultez la documentation CMEK.

    Étapes suivantes