Vista geral do Secret Manager

O Secret Manager é um serviço de gestão de segredos e credenciais que lhe permite armazenar e gerir dados confidenciais, como chaves de API, nomes de utilizador, palavras-passe, certificados e muito mais.

Um secret é um recurso global que contém uma coleção de metadados e versões do Secret. Os metadados podem incluir etiquetas, anotações e autorizações.

Uma versão secreta armazena os dados secretos reais, como chaves de API, palavras-passe ou certificados. Cada versão é identificada por um ID ou uma data/hora exclusivos.

Com o Secret Manager, pode fazer o seguinte:

  • Faça a gestão da reversão, da recuperação e da auditoria através de versões: as versões ajudam a gerir implementações graduais e reversões de emergência. Se um segredo for alterado ou comprometido acidentalmente, pode reverter para uma versão anterior que funcione corretamente. Isto minimiza potenciais períodos de inatividade e violações de segurança. O controlo de versões mantém um registo histórico das alterações feitas a um segredo, incluindo quem fez as alterações e quando. Ajuda a auditar dados secretos e monitorizar tentativas de acesso não autorizadas. Pode fixar versões secretas a cargas de trabalho específicas e adicionar aliases para facilitar o acesso a dados secretos. Também pode desativar ou destruir versões secretas de que não precisa.

  • Encripte os seus dados secretos em trânsito e em repouso: todos os segredos são encriptados por predefinição, tanto em trânsito através do TLS como em repouso com chaves de encriptação AES de 256 bits. Para quem necessita de um controlo mais detalhado, pode encriptar os seus dados secretos com chaves de encriptação geridas pelo cliente (CMEK). Com as CMEK, pode gerar novas chaves de encriptação ou importar as existentes para cumprir os seus requisitos específicos.

  • Faça a gestão do acesso a segredos através de funções e condições da gestão de identidade e de acesso (IAM) detalhadas: Com as funções e as autorizações da IAM, pode conceder acesso detalhado a recursos específicos do Secret Manager. Pode separar as responsabilidades de acesso, gestão, auditoria e rotação de segredos.

  • Garanta a alta disponibilidade e a recuperação de desastres com a replicação de segredos: pode replicar os seus segredos em várias regiões para garantir a alta disponibilidade e a recuperação de desastres para as suas aplicações, independentemente da respetiva localização geográfica. Pode escolher entre as seguintes políticas de replicação:

    • Replicação automática: a Google decide as regiões tendo em conta a disponibilidade e a latência. Só lhe é cobrado um estabelecimento.

    • Replicação gerida pelo utilizador: pode selecionar um conjunto personalizado de regiões consoante os seus requisitos. A cobrança é feita por localização.

  • Rode os segredos automaticamente para cumprir os seus requisitos de segurança e conformidade: A rotação dos segredos protege contra o acesso não autorizado e as violações de dados. A alteração regular dos seus segredos reduz o risco de segredos desatualizados ou esquecidos e garante a conformidade com muitas estruturas regulamentares que exigem a rotação periódica de credenciais confidenciais.

  • Aplique a residência dos dados através de segredos regionais: A residência dos dados requer que determinados tipos de dados, frequentemente pertencentes a indivíduos ou organizações específicos, sejam armazenados numa localização geográfica definida. Pode criar segredos regionais e armazenar os seus dados confidenciais numa localização específica para agir em conformidade com as leis e os regulamentos de soberania dos dados.

  • Faça a gestão dos parâmetros operacionais das suas aplicações através do gestor de parâmetros: o gestor de parâmetros é uma extensão do serviço Secret Manager que pode usar para armazenar e gerir configurações de aplicações, como strings de ligação à base de dados, flags de funcionalidades, nomes de ambientes, números de portas a ouvir e definições para funcionalidades de aplicações. Também pode fazer referência a segredos armazenados no Secret Manager nas configurações de parâmetros. Para usar o Gestor de parâmetros, tem de ativar a API Parameter Manager e conceder aos seus utilizadores as funções IAM necessárias.

    • Diferença entre a gestão de segredos e a gestão de chaves

    A gestão de segredos e a gestão de chaves são componentes essenciais da segurança de dados, mas têm finalidades distintas e processam diferentes tipos de informações confidenciais. A escolha entre a gestão de segredos e a gestão de chaves depende das suas necessidades específicas. Se quiser armazenar e gerir dados confidenciais de forma segura, um sistema de gestão de segredos é a ferramenta certa. Se quiser gerir chaves de encriptação e realizar operações criptográficas, um sistema de gestão de chaves é a melhor opção.

    Pode usar a tabela seguinte para compreender as principais diferenças entre o Secret Manager e um sistema de gestão de chaves, como o Cloud Key Management Service(Cloud KMS).

    Funcionalidade Secret Manager Cloud KMS
    Função principal Armazene, faça a gestão e aceda a segredos como blobs binários ou strings de texto. Gerir chaves criptográficas e usá-las para encriptar ou desencriptar dados.
    Dados armazenados Valores secretos reais. Com as autorizações adequadas, pode ver o conteúdo do segredo. Chaves criptográficas. Não pode ver, extrair nem exportar os segredos criptográficos reais (os bits e os bytes) que são usados para operações de encriptação e desencriptação.
    Encriptação Encripta segredos em repouso e em trânsito através de chaves geridas pela Google ou pelo cliente. Google-owned and managed keys Oferece capacidades de encriptação e desencriptação para outros serviços.
    Exemplos de utilização típicos Armazenar informações de configuração, como palavras-passe de bases de dados, chaves de API ou certificados TLS necessários por uma aplicação no tempo de execução. Processar grandes cargas de trabalho de encriptação, como encriptar linhas numa base de dados ou encriptar dados binários, como imagens e ficheiros. Também pode usar o Cloud KMS para realizar outras operações criptográficas, como a assinatura e a validação.

    Encriptação de segredos

    O Secret Manager encripta sempre os seus dados secretos antes de serem persistidos no disco. Para saber mais acerca das Google Cloud opções de encriptação, consulte o artigo Encriptação em repouso.

    O Secret Manager gere as chaves de encriptação por parte do servidor em seu nome através dos mesmos sistemas de gestão de chaves reforçados que usamos para os nossos próprios dados encriptados, incluindo controlos de acesso às chaves e auditoria rigorosos. O Secret Manager encripta os dados do utilizador em repouso através do AES-256. Não é necessária nenhuma configuração, não tem de modificar a forma como acede ao serviço e não existe um impacto visível no desempenho. Os seus dados secretos são desencriptados automaticamente e de forma transparente quando um utilizador autorizado acede aos mesmos.

    A API Secret Manager comunica sempre através de uma ligação HTTP(S) segura.

    As pessoas que precisam de uma camada adicional de proteção podem ativar as CMEK e usar as suas próprias chaves de encriptação armazenadas no Cloud Key Management Service para proteger os segredos armazenados no Secret Manager. Consulte a documentação da CMEK para ver detalhes sobre como configurar e usar chaves de encriptação geridas pelo cliente.

    O que se segue?