Visão geral do Secret Manager

O Secret Manager é um serviço de gerenciamento de credenciais e secrets que permite armazenar e gerenciar dados sensíveis, como chaves de API, nomes de usuário, senhas, certificados e muito mais.

Um secret é um recurso global que contém uma coleção de metadados e versões de secrets. Eles podem incluir locais de replicação, rótulos, anotações e permissões.

Uma versão do secret armazena os dados reais do secret, como chaves de API, senhas ou certificados. Cada versão é identificada por um ID ou carimbo de data/hora exclusivo. As versões fornecem uma trilha de auditoria, permitindo rastrear como um secret mudou ao longo do tempo.

Com o Secret Manager, é possível fazer o seguinte:

  • Gerenciar reversão, recuperação e auditoria usando versões: as versões ajudam você a gerenciar lançamentos graduais e reversões de emergência. Se um secret for alterado ou comprometido por acidente, você poderá reverter para uma versão anterior e funcional. Isso minimiza o tempo de inatividade e as violações de segurança. O controle de versões mantém um registro histórico das mudanças feitas em um secret, incluindo quem fez as mudanças e quando. Ela ajuda a auditar dados secretos e rastrear tentativas de acesso não autorizado. É possível fixar versões do secret em cargas de trabalho específicas e adicionar aliases para facilitar o acesso aos dados do secret. Também é possível desativar ou destruir versões de secrets que não são necessárias.

  • Criptografar seus dados secretos em trânsito e em repouso: todos os segredos são criptografados por padrão, tanto em trânsito usando TLS quanto em repouso com chaves de criptografia AES de 256 bits. Para quem precisa de um controle mais granular, é possível criptografar os dados secretos com chaves de criptografia gerenciadas pelo cliente (CMEK). Com a CMEK, é possível gerar novas chaves de criptografia ou importar as atuais para atender aos seus requisitos específicos.

  • Gerenciar o acesso a secrets usando papéis e condições granulares do Identity and Access Management (IAM): Com papéis e permissões do IAM, é possível fornecer acesso granular a recursos específicos do Secret Manager. É possível separar as responsabilidades de acesso, gerenciamento, auditoria e rotação de secrets.

  • Faça a rotação automática de chaves secretas para atender aos requisitos de segurança e compliance: A rotação de chaves secretas protege contra acesso não autorizado e violações de dados. A troca regular de secrets reduz o risco de eles ficarem desatualizados ou serem esquecidos e garante a conformidade com muitas estruturas regulatórias que exigem a rotação periódica de credenciais sensíveis.

  • Imponha a residência de dados usando segredos regionais: A residência de dados exige que determinados tipos de dados, geralmente pertencentes a indivíduos ou organizações específicas, sejam armazenados em uma localização geográfica definida. Você pode criar secrets regionais e armazenar seus dados sensíveis em um local específico para obedecer às leis e regulamentações de soberania de dados.

  • Gerencie parâmetros operacionais dos seus aplicativos usando o Gerenciador de parâmetros: o Gerenciador de parâmetros é uma extensão do serviço Secret Manager que pode ser usada para armazenar e gerenciar configurações de aplicativos, como strings de conexão de banco de dados, flags de recursos, nomes de ambientes, números de porta para escutar e configurações de recursos de aplicativos. Também é possível fazer referência a secrets armazenados no Secret Manager nas configurações de parâmetros. Para usar o Parameter Manager, é necessário ativar a API Parameter Manager e conceder aos usuários os papéis do IAM necessários.

    • Diferença entre o gerenciamento de secrets e o gerenciamento de chaves

    O gerenciamento de secrets e de chaves são componentes essenciais da segurança de dados, mas têm propósitos distintos e lidam com diferentes tipos de informações sensíveis. A escolha entre o gerenciamento de secrets e o gerenciamento de chaves depende das suas necessidades específicas. Se você quiser armazenar e gerenciar dados confidenciais com segurança, um sistema de gerenciamento de secrets é a ferramenta certa. Se você quiser gerenciar chaves de criptografia e realizar operações criptográficas, um sistema de gerenciamento de chaves será a melhor opção.

    Use a tabela a seguir para entender as principais diferenças entre o Secret Manager e um sistema de gerenciamento de chaves, como o Cloud Key Management Service(Cloud KMS).

    Recurso Secret Manager Cloud KMS
    Função principal Armazenar, gerenciar e acessar secrets como blobs binários ou strings de texto. Gerenciar chaves criptográficas e usá-las para criptografar ou descriptografar dados.
    Dados armazenados Valores reais do secret. É possível visualizar o conteúdo do secret com as permissões apropriadas. Chaves criptográficas. Não é possível ver, extrair ou exportar os segredos criptográficos reais (bits e bytes) usados para operações de criptografia e descriptografia.
    Criptografia Criptografa secrets em repouso e em trânsito usando Google-owned and managed keys ou chaves gerenciadas pelo cliente. Oferece recursos de criptografia e descriptografia para outros serviços.
    Casos de uso típicos Armazenar informações de configuração, como senhas de banco de dados, chaves de API ou certificados TLS necessários para um aplicativo no ambiente de execução. Processar grandes cargas de trabalho de criptografia, como criptografar linhas em um banco de dados ou criptografar dados binários, como imagens e arquivos. Também é possível usar o Cloud KMS para executar outras operações criptográficas, como assinatura e verificação.

    Criptografia de secrets

    O Secret Manager sempre criptografa os dados secretos antes de serem mantidos no disco. Para saber mais sobre as opções de criptografia Google Cloud , consulte Criptografia em repouso.

    As chaves de criptografia do servidor são gerenciadas pelo Secret Manager para você por meio dos mesmos sistemas de gerenciamento de chaves com aumento da proteção que usamos nos nossos dados criptografados. Isso inclui auditoria e controles estritos de acesso por chave. O Secret Manager criptografa os dados do usuário em repouso usando AES-256. Não é necessário realizar qualquer configuração ou estabelecer definições. Também não é necessário acessar o serviço de outra maneira e não há impacto visível no desempenho. Os dados do secret são descriptografados de maneira automática e transparente quando um usuário autorizado os acessa.

    A API Secret Manager sempre se comunica por uma conexão HTTP(S) segura.

    Quem precisa de uma camada extra de proteção pode ativar a CMEK e usar as próprias chaves de criptografia armazenadas no Cloud Key Management Service para proteger os secrets armazenados no Secret Manager. Consulte Adicionar criptografia CMEK a secrets regionais para saber como usar chaves de criptografia gerenciadas pelo cliente.

    A seguir