Visão geral do Secret Manager

O Secret Manager é um serviço de gerenciamento de secrets e credenciais que permite armazenar e gerenciar dados sensíveis, como chaves de API, nomes de usuário, senhas certificados e muito mais.

Um secret é um recurso global que contém uma coleção de metadados e versões de secrets. Os metadados podem incluir rótulos, anotações e permissões.

Uma versão secreta armazena os dados secretos reais, como chaves de API, senhas ou certificados. Cada versão é identificada por um ID ou carimbo de data/hora exclusivo.

Com o Secret Manager, é possível fazer o seguinte:

  • Gerenciar reversão, recuperação e auditoria usando versões: as versões ajudam você gerenciar lançamentos graduais e reversão de emergência, se um secret for alterado acidentalmente ou comprometida, é possível reverter para uma versão conhecida anterior. Isso minimiza em potencial de inatividade e violações de segurança. O controle de versões mantém um registro histórico de alterações feitas em um secret, incluindo quem fez as alterações e quando. Ele ajuda a auditar dados confidenciais e acompanhar tentativas de acesso não autorizado. É possível fixar versões secretas em cargas de trabalho específicas e adicionar apelidos para facilitar o acesso a dados secretos. Também é possível desativar ou destruir as versões de segredos que você não precisa.

  • Criptografar dados confidenciais em trânsito e em repouso: todas as informações confidenciais são criptografadas por padrão, tanto em trânsito usando TLS quanto em repouso com chaves de criptografia AES-256 bits. Para quem precisa de mais controle granular, é possível criptografar dados secretos com chaves de criptografia gerenciadas pelo cliente (CMEK). Com a CMEK, é possível gerar novas chaves de criptografia ou importar as atuais para atender aos seus requisitos específicos.

  • Gerencie o acesso a segredos usando condições e papéis detalhados do gerenciamento de identidade e acesso (IAM): Com papéis e permissões do IAM, é possível conceder acesso granular a recursos específicos do Secret Manager. É possível separar as responsabilidades de acesso, gerenciamento, auditoria e rotação de secrets.

  • Garantir alta disponibilidade e recuperação de desastres com a replicação de segredos: é possível replicar segredos em várias regiões para garantir alta disponibilidade e recuperação de desastres para seus aplicativos, independente da localização geográfica. Você pode escolher entre as seguintes políticas de replicação:

    • Replicação automática: o Google decide as regiões considerando disponibilidade e latência. Você só vai receber cobranças por um local.

    • Replicação gerenciada pelo usuário: é possível selecione um conjunto personalizado de regiões de acordo com seus requisitos. A cobrança é feita por local.

  • Alterne os secrets automaticamente para atender aos requisitos de segurança e compliance: Como fazer a rotação de secrets contra acesso não autorizado e violações de dados. A mudança regular de secrets reduz o risco de secrets desatualizados ou esquecidos e garante a conformidade com muitos frameworks regulamentares que exigem a rotação periódica de credenciais sensíveis.

  • Aplicar a residência de dados usando secrets regionais: Residência dos dados exige que certos tipos de dados, muitas vezes pertencentes a indivíduos ou em um local geográfico definido. É possível criar secrets regionais e armazenar seus dados sensíveis em um local específico para cumprir as leis de soberania de dados e regulamentações.

    • Diferença entre o gerenciamento de secrets e o gerenciamento de chaves

    O gerenciamento de secrets e o gerenciamento de chaves são componentes críticos da segurança de dados, mas têm finalidades distintas e lidam com diferentes tipos de informações sensíveis. A escolha entre o gerenciamento de secrets e o gerenciamento de chaves depende das suas necessidades específicas. Se você quiser armazenar e gerenciar dados confidenciais com segurança, um sistema de gerenciamento de secrets é a ferramenta certa. Se você quiser gerenciar chaves de criptografia e realizar operações criptográficas, um sistema de gerenciamento de chaves é a melhor escolha.

    Use a tabela a seguir para entender as principais diferenças entre o Secret Manager e um sistema de gerenciamento de chaves, como Cloud Key Management Service(Cloud KMS):

    Recurso Secret Manager Cloud KMS
    Função principal Armazene, gerencie e acesse segredos como blobs binários ou strings de texto. Gerenciar chaves criptográficas e usá-las para criptografar ou descriptografar dados.
    Dados armazenados Valores reais do secret. Com as permissões apropriadas, é possível visualizar o conteúdo do secret. Chaves criptográficas. Não é possível visualizar, extrair ou exportar os segredos criptográficos (os bits e bytes) que são usados para operações de criptografia e descriptografia.
    Encryption Criptografa segredos em repouso e em trânsito usando chaves gerenciadas pelo Google ou pelo cliente. Oferece recursos de criptografia e descriptografia para outros serviços.
    Casos de uso típicos Armazene informações de configuração, como senhas de banco de dados, chaves de API ou certificados TLS necessários para um aplicativo no ambiente de execução. Processar grandes cargas de trabalho de criptografia, como criptografar linhas em um banco de dados ou criptografia de dados binários, como imagens e arquivos. Também é possível usar o Cloud KMS para executar outras operações criptográficas como assinatura e verificação.

    Criptografia de secrets

    O Secret Manager sempre criptografa os dados secretos antes de serem mantidos no disco. Para saber mais sobre as opções de criptografia do Google Cloud, consulte Criptografia em repouso.

    As chaves de criptografia do servidor são gerenciadas pelo Secret Manager para você por meio dos mesmos sistemas de gerenciamento de chaves com aumento da proteção que usamos nos nossos dados criptografados. Isso inclui auditoria e controles estritos de acesso por chave. O Secret Manager criptografa os dados do usuário em repouso usando AES-256. Não é necessário realizar qualquer configuração ou estabelecer definições. Também não é necessário acessar o serviço de outra maneira e não há impacto visível no desempenho. Os dados do secret são descriptografados de maneira automática e transparente quando um usuário autorizado os acessa.

    A API Secret Manager sempre se comunica por uma conexão HTTP(S) segura.

    Aqueles que precisam de uma camada extra de proteção podem ativar a CMEK e usar as próprias de criptografia de chaves armazenadas no Cloud Key Management Service para proteger os secrets armazenados no com o Secret Manager. Consulte a documentação do CMEK para saber como configurar e usar chaves de criptografia gerenciadas pelo cliente.

    A seguir