Présentation de Secret Manager

Secret Manager est un service de gestion des secrets et des identifiants qui vous permet de stocker et de gérer des données sensibles telles que des clés API, des noms d'utilisateur, des mots de passe, des certificats, etc.

Un secret est une ressource globale qui contient un ensemble de métadonnées et de versions de secrets. Les métadonnées peuvent inclure les étiquettes, les annotations et les autorisations.

Une version de secret stocke les données sur les secrets, telles que les clés API, les mots de passe ou les certificats. Chaque version est identifié par un identifiant unique ou un code temporel.

Secret Manager vous permet d'effectuer les opérations suivantes:

  • Gérer le rollback, la récupération et l'audit à l'aide des versions : les versions vous aident à gérer les déploiements progressifs et le rollback d'urgence. Si un secret est modifié ou compromis accidentellement, vous pouvez revenir à une version précédente fiable. Cela réduit les temps d’arrêt et les brèches de sécurité potentiels. La gestion des versions conserve un historique des modifications apportées à un secret, y compris l'auteur et la date de ces modifications. Elle vous aide à auditer les données secrètes et à suivre les tentatives d'accès non autorisées. Vous pouvez épingler des versions de secrets à des charges de travail spécifiques et ajouter des alias pour accéder plus facilement aux données secrètes. Vous pouvez également désactiver ou détruire le secret dont vous n'avez pas besoin.

  • Chiffrez vos données secrètes en transit et au repos: tous les secrets sont chiffrées par défaut, à la fois en transit via TLS et au repos avec le chiffrement AES-256 bits clés. Si vous avez besoin d'un contrôle plus précis, vous pouvez chiffrer vos données secrètes avec le modèle Géré par le client Clés de chiffrement (CMEK). Avec CMEK, vous pouvez générer de nouvelles clés de chiffrement ou en importer des existantes pour répondre à vos exigences spécifiques.

  • Gérez l'accès aux secrets à l'aide de rôles et de conditions IAM (Identity and Access Management) précis : avec les rôles et autorisations IAM, vous pouvez accorder un accès précis à des ressources Secret Manager spécifiques. Vous pouvez séparer les responsabilités pour l’accès, la gestion, l'audit et la rotation des secrets.

  • Assurer la haute disponibilité et la reprise après sinistre grâce à la réplication des secrets: vous peuvent répliquer vos secrets dans plusieurs régions pour garantir la haute disponibilité et la reprise après sinistre pour vos applications quelle que soit leur situation géographique. Vous pouvez choisir l'une des règles de réplication suivantes :

    • Réplication automatique : Google choisit les régions en fonction de la disponibilité et de la latence. Seul un emplacement vous est facturé.

    • Replication gérée par l'utilisateur : vous pouvez sélectionner un ensemble personnalisé de régions en fonction de vos besoins. Vous êtes facturé par emplacement.

  • Effectuez une rotation automatique des secrets pour répondre à vos exigences de sécurité et de conformité: Faire tourner vos secrets protège contre les accès non autorisés et les violations de données. Modifier régulièrement vos secrets réduit le risque de secrets obsolètes ou oubliés, et garantit la conformité avec de nombreux cadres réglementaires qui exigent une rotation périodique des identifiants sensibles.

  • Appliquer la résidence des données à l'aide de secrets régionaux : la résidence des données exige que certains types de données, souvent appartenant à des personnes ou à des organisations spécifiques, soient stockés dans un emplacement géographique défini. Vous pouvez créer Secrets régionaux et stocker vos données sensibles dans un emplacement spécifique afin de respecter les lois sur la souveraineté des données et réglementations en vigueur.

    • Différence entre la gestion des secrets et la gestion des clés

    La gestion des secrets et des clés sont tous deux des composants essentiels de la sécurité des données, mais ils ont des objectifs distincts et gèrent différents types d'informations sensibles. Le choix entre la gestion des secrets et la gestion des clés dépend de vos besoins spécifiques. Si vous souhaitez stocker et gérer de manière sécurisée des données confidentielles, un système de gestion des secrets est le bon outil. Si vous souhaitez gérer des clés de chiffrement et effectuer des opérations de cryptographie, un système de gestion des clés est le meilleur choix.

    Le tableau suivant vous permet de comprendre les principales différences entre Secret Manager et et un système de gestion des clés, tel que Cloud Key Management Service(Cloud KMS) :

    Caractéristique Secret Manager Cloud KMS
    Fonction principale Stockez et gérez les secrets sous forme de blobs binaires ou de chaînes de texte, et accédez-y. Gérez les clés cryptographiques et utilisez-les pour chiffrer ou déchiffrer des données.
    Données enregistrées Valeurs réelles des secrets. Si vous disposez des autorisations appropriées, vous pouvez afficher le contenu du secret. Clés cryptographiques Vous ne pouvez pas afficher, extraire ni exporter les secrets cryptographiques réels (les bits et les octets) utilisés pour les opérations de chiffrement et de déchiffrement.
    Chiffrement Chiffre les secrets au repos et en transit à l'aide de clés gérées par Google ou par le client. Fournit des fonctionnalités de chiffrement et de déchiffrement pour d'autres services.
    Cas d'utilisation types Stockez les informations de configuration telles que les mots de passe de base de données, les clés API ou Certificats TLS requis par une application au moment de l'exécution. gérer des charges de travail de chiffrement volumineuses, comme le chiffrement des lignes d'une base de données ; chiffrer des données binaires telles que des images et des fichiers. Vous pouvez aussi utiliser Cloud KMS pour effectuer d'autres opérations cryptographiques telles que la signature et la validation.

    Chiffrement des secrets

    Secret Manager chiffre toujours vos données secrètes avant qu'elles ne soient conservées sur le disque. Pour en savoir plus sur les options de chiffrement de Google Cloud, consultez la page Chiffrement au repos.

    Secret Manager gère les clés de chiffrement côté serveur en votre nom à l'aide des mêmes systèmes de gestion de clés renforcés que nous utilisons pour nos propres données chiffrées, y compris les audits et les contrôles stricts d'accès aux clés. Secret Manager chiffre les données utilisateur au repos à l'aide de l'algorithme AES-256. Aucune installation ou configuration n'est requise. Par ailleurs, il n'est pas nécessaire de modifier le mode d'accès au service, et aucun impact visible sur les performances n'est constaté. Les données des secrets sont déchiffrées automatiquement et de manière transparente lorsqu'un utilisateur autorisé y accède.

    L'API Secret Manager communique toujours via une connexion HTTP(S) sécurisée.

    Ceux qui ont besoin d'une couche de protection supplémentaire peuvent activer les CMEK et utiliser leur propre des clés de chiffrement stockées dans Cloud Key Management Service pour protéger les secrets Secret Manager. Consultez la documentation sur les CMEK pour savoir comment configurer et utiliser les clés de chiffrement gérées par le client.

    Étape suivante