Panoramica di Secret Manager

Secret Manager è un servizio di gestione di secret e credenziali che consente di archiviare e gestire dati sensibili come chiavi API, nomi utente, password certificati e altro ancora.

Un secret è una risorsa globale che contiene una raccolta di metadati e versioni del secret. I metadati possono includere etichette, annotazioni e autorizzazioni.

Una versione secret archivia i dati secret effettivi, come chiavi API, password o certificati. Ogni versione è identificati da un ID o un timestamp univoco.

Con Secret Manager, puoi:

  • Gestire rollback, ripristino e controllo tramite le versioni: le versioni ti aiutano gestire implementazioni graduali e rollback di emergenza, in caso di modifica accidentale di un secret o compromessa, puoi ripristinare una versione precedente non funzionante. In questo modo vengono ridotti al minimo i potenziali tempi di inattività e le violazioni della sicurezza. Il controllo delle versioni conserva un record storico delle modifiche apportate a un secret, tra cui chi le ha apportate e quando. Ti aiuta controllare i dati del secret e tenere traccia di eventuali tentativi di accesso non autorizzati. Puoi bloccare le versioni dei secret per carichi di lavoro specifici e aggiungere alias per accedere più facilmente ai dati dei secret. Puoi anche disable o Elimina secret o versioni successive che non richiedono.

  • Cripta i dati secret in transito e at-rest: tutti i secret sono criptati per impostazione predefinita, sia in transito con TLS che at-rest con crittografia AES-256-bit chiave. Per chi richiede un controllo più granulare, puoi criptare i dati segreti con le chiavi di crittografia gestite dal cliente (CMEK). Con CMEK puoi generare nuove chiavi di crittografia o importarne di esistenti per soddisfare i tuoi requisiti specifici.

  • Gestisci l'accesso ai secret utilizzando ruoli e condizioni granulari di Identity and Access Management (IAM): Con ruoli e autorizzazioni IAM, puoi fornire un accesso granulare a risorse di Secret Manager specifiche. Puoi separare le responsabilità relative all'accesso, la gestione, l'auditing e la rotazione dei secret.

  • Garantire disponibilità elevata e ripristino di emergenza con la replica dei secret: può replicare i tuoi segreti in più regioni per garantire disponibilità elevata e ripristino di emergenza per le tue applicazioni a prescindere dalla loro posizione geografica. Puoi scegliere tra i seguenti criteri di replica:

    • Replica automatica: è Google a decidere le regioni in base alla disponibilità e alla latenza. Ti viene addebitato solo un costo per una località.

    • Replica gestita dall'utente: puoi selezionare un insieme personalizzato di regioni in base ai tuoi requisiti. L'addebito avviene per località.

  • Ruota automaticamente i secret per soddisfare i requisiti di sicurezza e conformità: la rotazione dei secret protegge da accessi non autorizzati e violazioni dei dati. La modifica regolare dei secret riduce il rischio di segreti obsoleti o dimenticati e garantisce la conformità a molti quadri normativi che richiedono la rotazione periodica di credenziali sensibili.

  • Applica la residenza dei dati utilizzando i secret regionali: La residenza dei dati richiede che determinati tipi di dati, spesso appartenenti a persone o organizzazioni specifiche, vengano archiviati in una posizione geografica definita. Puoi creare secret regionali e archiviare i dati sensibili in una posizione specifica per rispettare le leggi sulla sovranità dei dati e alle normative vigenti.

    • Differenza tra gestione dei secret e gestione delle chiavi

    La gestione dei secret e la gestione delle chiavi sono entrambi componenti fondamentali della sicurezza dei dati, ma hanno scopi distinti e gestiscono diversi tipi di informazioni sensibili. La scelta tra la gestione dei secret e la gestione delle chiavi dipende dalle tue esigenze specifiche. Se vuoi archiviare e gestire i dati riservati in modo sicuro, un sistema di gestione dei secret sia lo strumento giusto. Se vuoi gestire le chiavi di crittografia ed eseguire operazioni crittografiche, un sistema di gestione delle chiavi è la scelta migliore.

    Puoi utilizzare la tabella seguente per comprendere le differenze principali tra Secret Manager e un sistema di gestione delle chiavi, come Cloud Key Management Service (Cloud KMS).

    Funzionalità Secret Manager Cloud KMS
    Funzione principale Archivia, gestisci e accedi ai secret come BLOB binari o stringhe di testo. Gestisci le chiavi di crittografia e utilizzale per criptare o decriptare i dati.
    Dati memorizzati Valori effettivi del secret. Con le autorizzazioni appropriate, puoi visualizzare i contenuti della chiave. Chiavi di crittografia. Non puoi visualizzare, estrarre o esportare i segreti cryptographic (i bit e i byte) utilizzati per le operazioni di crittografia e decrittografia.
    Crittografia Cripta i secret at-rest e in transito utilizzando le chiavi gestite da Google o dal cliente. Fornisce funzionalità di crittografia e decrittografia per altri servizi.
    Casi d'uso tipici Archivia informazioni di configurazione come password di database, chiavi API o certificati TLS richiesti da un'applicazione in fase di runtime. Gestisci carichi di lavoro di crittografia di grandi dimensioni, come la crittografia delle righe in un database crittografando i dati binari come immagini e file. Puoi anche utilizzare Cloud KMS per eseguire altre operazioni crittografiche come la firma e la verifica.

    Crittografia dei secret

    Secret Manager cripta sempre i dati dei secret prima che vengano resi permanenti su disco. Per saperne di più sulle opzioni di crittografia di Google Cloud, consulta Crittografia at-rest.

    Secret Manager gestisce per tuo conto le chiavi di crittografia lato server utilizzando gli stessi sistemi di gestione delle chiavi avanzati che utilizziamo per i nostri dati criptati, inclusi controlli e verifiche rigorosi dell'accesso alle chiavi. Secret Manager cripta i dati at-rest degli utenti utilizzando AES-256. Non c'è alcuna configurazione o configurazione obbligatoria, non è necessario modificare il modo in cui si accede al servizio e un impatto visibile sulle prestazioni. I tuoi dati secret vengono automaticamente e in modo trasparente decriptato quando vi si accede da un utente autorizzato.

    L'API Secret Manager comunica sempre tramite una connessione HTTP(S) sicura.

    Chi ha bisogno di un ulteriore livello di protezione può attivare le chiavi CMEK e utilizzare le proprie chiavi di crittografia archiviate in Cloud Key Management Service per proteggere i secret archiviati in Secret Manager. Consulta la documentazione CMEK per informazioni dettagliate su come configurare e utilizzare le chiavi di crittografia gestite dal cliente.

    Passaggi successivi