Secret Manager ist ein Dienst zur Verwaltung von Secrets und Anmeldedaten, mit dem Sie sensible Daten wie API-Schlüssel, Nutzernamen, Passwörter und Zertifikate speichern und verwalten können.
Ein Secret ist eine globale Ressource, die eine Sammlung von Metadaten und Secret-Versionen enthält. Die Metadaten können Replikationsstandorte, Labels, Annotationen und Berechtigungen enthalten.
In einer Secret-Version werden die eigentlichen Secret-Daten wie API-Schlüssel, Passwörter oder Zertifikate gespeichert. Jede Version wird durch eine eindeutige ID oder einen eindeutigen Zeitstempel identifiziert. Versionen bieten einen Audit-Trail, mit dem Sie nachvollziehen können, wie sich ein Secret im Laufe der Zeit geändert hat.
Mit Secret Manager haben Sie folgende Möglichkeiten:
-
Rollback, Wiederherstellung und Auditierung mit Versionen verwalten: Mit Versionen können Sie schrittweise Rollouts und Notfall-Rollbacks verwalten. Wenn ein Secret versehentlich geändert oder manipuliert wird, können Sie zu einer früheren, funktionierenden Version zurückkehren. So werden potenzielle Ausfallzeiten und Sicherheitslücken minimiert. Durch die Versionsverwaltung wird ein Verlauf der Änderungen an einem Secret geführt, einschließlich der Person, die die Änderungen vorgenommen hat, und des Zeitpunkts. Damit können Sie geheime Daten prüfen und unbefugte Zugriffsversuche nachverfolgen. Sie können Secret-Versionen an bestimmte Arbeitslasten anpinnen und Aliase hinzufügen, um einfacher auf Secret-Daten zuzugreifen. Sie können auch Secret-Versionen, die Sie nicht benötigen, deaktivieren oder löschen.
-
Geheime Daten während der Übertragung und bei Inaktivität verschlüsseln: Alle Secrets werden standardmäßig verschlüsselt, sowohl während der Übertragung mit TLS als auch bei Inaktivität mit AES-256-Bit-Verschlüsselungsschlüsseln. Wenn Sie eine detailliertere Steuerung benötigen, können Sie Ihre vertraulichen Daten mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) verschlüsseln. Mit CMEK können Sie neue Verschlüsselungsschlüssel generieren oder vorhandene importieren, um Ihre spezifischen Anforderungen zu erfüllen.
-
Zugriff auf Secrets mit detaillierten IAM-Rollen (Identity and Access Management) und -Bedingungen verwalten: Mit IAM-Rollen und -Berechtigungen können Sie detaillierten Zugriff auf bestimmte Secret Manager-Ressourcen gewähren. Sie können die Verantwortlichkeiten für den Zugriff auf, die Verwaltung, das Auditieren und das Rotieren von Secrets trennen.
-
Geheime Schlüssel automatisch rotieren, um Ihre Sicherheits- und Compliance-Anforderungen zu erfüllen: Geheime Schlüssel rotieren schützt vor unbefugtem Zugriff und Datenpannen. Wenn Sie Ihre Secrets regelmäßig ändern, verringern Sie das Risiko veralteter oder vergessener Secrets und sorgen für die Einhaltung vieler rechtlicher Rahmenbedingungen, die eine regelmäßige Rotation sensibler Anmeldedaten erfordern.
-
Datenstandort mit regionalen Secrets erzwingen: Der Datenstandort erfordert, dass bestimmte Datentypen, die oft zu bestimmten Personen oder Organisationen gehören, an einem definierten geografischen Standort gespeichert werden. Sie können regionale Secrets erstellen und Ihre vertraulichen Daten an einem bestimmten Standort speichern, um Gesetze und Verordnungen zur Datenhoheit einzuhalten.
-
Betriebsparameter für Ihre Anwendungen mit Parameter Manager verwalten: Parameter Manager ist eine Erweiterung des Secret Manager-Dienstes, mit der Sie Anwendungskonfigurationen wie Datenbankverbindungsstrings, Feature-Flags, Umgebungsnamen, Portnummern für das Listening und Einstellungen für Anwendungsfunktionen speichern und verwalten können. Sie können auch auf Secrets verweisen, die in Secret Manager gespeichert sind, und diese in Ihren Parameterkonfigurationen verwenden. Wenn Sie Parameter Manager verwenden möchten, müssen Sie die Parameter Manager API aktivieren und Ihren Nutzern die erforderlichen IAM-Rollen gewähren.
Unterschied zwischen der Verwaltung von Secrets und der Schlüsselverwaltung
Die Verwaltung von Secrets und die Schlüsselverwaltung sind beide wichtige Komponenten der Datensicherheit, dienen jedoch unterschiedlichen Zwecken und verarbeiten verschiedene Arten von vertraulichen Informationen. Die Wahl zwischen der Verwaltung von Secrets und der Verwaltung von Schlüsseln hängt von Ihren spezifischen Anforderungen ab. Wenn Sie vertrauliche Daten sicher speichern und verwalten möchten, ist ein Secrets-Management-System das richtige Tool. Wenn Sie Verschlüsselungsschlüssel verwalten und kryptografische Vorgänge ausführen möchten, ist ein Schlüsselverwaltungssystem die bessere Wahl.
In der folgenden Tabelle finden Sie die wichtigsten Unterschiede zwischen Secret Manager und einem Schlüsselverwaltungssystem wie Cloud Key Management Service(Cloud KMS).
| Funktion | Secret Manager | Cloud KMS |
|---|---|---|
| Hauptfunktion | Secrets als binäre Blobs oder Textstrings speichern, verwalten und darauf zugreifen. | Kryptografische Schlüssel verwalten und zum Ver- oder Entschlüsseln von Daten verwenden. |
| Gespeicherte Daten | Tatsächliche Secret-Werte. Mit den entsprechenden Berechtigungen können Sie den Inhalt des Secrets aufrufen. | Kryptografische Schlüssel. Sie können die tatsächlichen kryptografischen Secrets (die Bits und Bytes), die für Ver- und Entschlüsselungsvorgänge verwendet werden, nicht ansehen, extrahieren oder exportieren. |
| Verschlüsselung | Verschlüsselt ruhende und übertragene Secrets mit Google-owned and managed keys oder vom Kunden verwalteten Schlüsseln. | Bietet Verschlüsselungs- und Entschlüsselungsfunktionen für andere Dienste. |
| Typische Anwendungsfälle | Konfigurationsinformationen wie Datenbankpasswörter, API-Schlüssel oder TLS-Zertifikate speichern, die von einer Anwendung zur Laufzeit benötigt werden. | Große Verschlüsselungsarbeitslasten verarbeiten, z. B. zum Verschlüsseln von Zeilen in einer Datenbank oder zum Verschlüsseln von Binärdaten wie Bildern und Dateien. Sie können Cloud KMS auch für andere kryptografische Vorgänge wie das Signieren und Verifizieren verwenden. |
Verschlüsselung von Secrets
Secret Manager verschlüsselt Ihre Secret-Daten immer, bevor sie auf dem Laufwerk gespeichert werden. Weitere Informationen zu den Verschlüsselungsoptionen für Google Cloud finden Sie unter Verschlüsselung inaktiver Daten.
Die serverseitigen Verschlüsselungsschlüssel werden in Store Manager für Sie verwaltet. Wir verwenden dabei dieselben erprobten Schlüsselverwaltungssysteme wie für unsere eigenen verschlüsselten Daten, einschließlich strenger Schlüsselzugriffskontrollen und Prüfprozesse. Secret Manager verschlüsselt inaktive Nutzerdaten mit AES-256. Diese Art der Verschlüsselung erfordert Ihrerseits keinerlei Einrichtung oder Konfiguration. Sie können dennoch wie gewohnt auf den Dienst zugreifen. Auch die Leistung bleibt erhalten. Ihre Secret-Daten werden automatisch und transparent entschlüsselt, wenn ein autorisierter Nutzer darauf zugreift.
Die Secret Manager API kommuniziert immer über eine sichere HTTP(S)-Verbindung.
Wer eine zusätzliche Schutzebene benötigt, kann CMEK aktivieren und eigene Verschlüsselungsschlüssel verwenden, die im Cloud Key Management Service gespeichert sind, um die im Secret Manager gespeicherten Secrets zu schützen. Weitere Informationen zur Verwendung von vom Kunden verwalteten Verschlüsselungsschlüsseln finden Sie unter CMEK-Verschlüsselung für regionale Secrets hinzufügen.