Visão geral do Secret Manager

O Secret Manager é um serviço de gerenciamento de segredos e credenciais que permite armazenar e gerenciar dados sensíveis, como chaves de API, nomes de usuário, senhas, certificados e muito mais.

Um secret é um recurso global que contém uma coleção de metadados e versões de secrets. Os metadados podem incluir rótulos, anotações e permissões.

Uma versão do secret armazena os dados reais do secret, como chaves de API, senhas ou certificados. Cada versão é identificada por um ID ou carimbo de data/hora exclusivo.

Com o Secret Manager, é possível fazer o seguinte:

  • Gerenciar reversão, recuperação e auditoria usando versões: as versões ajudam a gerenciar lançamentos graduais e reversão de emergência. Se um segredo for alterado acidentalmente ou comprometido, você poderá reverter para uma versão anterior conhecida como boa. Isso minimiza possíveis períodos de inatividade e violações de segurança. A versão mantém um registro histórico das mudanças feitas em um segredo, incluindo quem fez as mudanças e quando. Ele ajuda a auditar dados confidenciais e acompanhar tentativas de acesso não autorizado. É possível fixar versões secretas em cargas de trabalho específicas e adicionar apelidos para facilitar o acesso a dados secretos. Também é possível desativar ou destruir as versões de segredos que você não precisa.

  • Criptografar dados confidenciais em trânsito e em repouso: todas as informações confidenciais são criptografadas por padrão, tanto em trânsito usando TLS quanto em repouso com chaves de criptografia AES-256 bits. Para quem precisa de mais controle granular, é possível criptografar dados confidenciais com chaves de criptografia gerenciadas pelo cliente (CMEK). Com a CMEK, você pode gerar novas chaves de criptografia ou importar as existentes para atender aos seus requisitos específicos.

  • Gerencie o acesso a segredos usando condições e papéis detalhados do Identity and Access Management (IAM): Com papéis e permissões do IAM, é possível conceder acesso granular a recursos específicos do Secret Manager. É possível separar as responsabilidades de acesso, gerenciamento, auditoria e rotação de secrets.

  • Garantir alta disponibilidade e recuperação de desastres com a replicação de segredos: é possível replicar segredos em várias regiões para garantir alta disponibilidade e recuperação de desastres para seus aplicativos, independente da localização geográfica. Você pode escolher entre as seguintes políticas de replicação:

    • Replicação automática: o Google decide as regiões considerando a disponibilidade e a latência. Você só vai receber cobranças por um local.

    • Replicação gerenciada pelo usuário: é possível selecionar um conjunto personalizado de regiões, dependendo dos seus requisitos. A cobrança é feita por local.

  • Gire as chaves automaticamente para atender aos requisitos de segurança e conformidade: Gire as chaves para se proteger contra acesso não autorizado e violações de dados. A mudança regular de secrets reduz o risco de secrets desatualizados ou esquecidos e garante a conformidade com muitos frameworks regulamentares que exigem a rotação periódica de credenciais sensíveis.

  • Aplicar a residência de dados usando segredos regionais: a residência de dados exige que determinados tipos de dados, geralmente pertencentes a indivíduos ou organizações específicos, sejam armazenados em um local geográfico definido. Você pode criar segredos regionais e armazenar seus dados confidenciais em um local específico para obedecer às leis e regulamentações de soberania de dados.

    • Diferença entre o gerenciamento de secrets e o gerenciamento de chaves

    O gerenciamento de secrets e de chaves são componentes essenciais da segurança de dados, mas têm finalidades distintas e lidam com diferentes tipos de informações sensíveis. A escolha entre o gerenciamento de secrets e o gerenciamento de chaves depende das suas necessidades específicas. Se você quiser armazenar e gerenciar dados confidenciais com segurança, um sistema de gerenciamento de secrets é a ferramenta certa. Se você quiser gerenciar chaves de criptografia e realizar operações criptográficas, um sistema de gerenciamento de chaves é a melhor escolha.

    Use a tabela a seguir para entender as principais diferenças entre o Secret Manager e um sistema de gerenciamento de chaves, como o Cloud Key Management Service(Cloud KMS).

    Recurso Secret Manager Cloud KMS
    Função principal Armazene, gerencie e acesse segredos como blobs binários ou strings de texto. Gerenciar chaves criptográficas e usá-las para criptografar ou descriptografar dados.
    Dados armazenados Valores reais do secret. Com as permissões adequadas, é possível conferir o conteúdo do secret. Chaves criptográficas. Não é possível visualizar, extrair ou exportar os segredos criptográficos (os bits e bytes) que são usados para operações de criptografia e descriptografia.
    Encryption Criptografa segredos em repouso e em trânsito usando chaves gerenciadas pelo Google ou pelo cliente. Oferece recursos de criptografia e descriptografia para outros serviços.
    Casos de uso típicos Armazenar informações de configuração, como senhas de banco de dados, chaves de API ou certificados TLS necessários para um aplicativo no ambiente de execução. Processar grandes cargas de trabalho de criptografia, como criptografia de linhas em um banco de dados ou criptografia de dados binários, como imagens e arquivos. Também é possível usar o Cloud KMS para executar outras operações criptográficas, como assinatura e verificação.

    Criptografia de secrets

    O Secret Manager sempre criptografa os dados secretos antes de serem mantidos no disco. Para saber mais sobre as opções de criptografia do Google Cloud, consulte Criptografia em repouso.

    As chaves de criptografia do servidor são gerenciadas pelo Secret Manager para você por meio dos mesmos sistemas de gerenciamento de chaves com aumento da proteção que usamos nos nossos dados criptografados. Isso inclui auditoria e controles estritos de acesso por chave. O Secret Manager criptografa os dados do usuário em repouso usando AES-256. Não é necessário realizar qualquer configuração ou estabelecer definições. Também não é necessário acessar o serviço de outra maneira e não há impacto visível no desempenho. Os dados do secret são descriptografados de maneira automática e transparente quando um usuário autorizado os acessa.

    A API Secret Manager sempre se comunica por uma conexão HTTP(S) segura.

    Quem precisa de uma camada extra de proteção pode ativar o CMEK e usar as próprias chaves de criptografia armazenadas no Cloud Key Management Service para proteger os segredos armazenados no Secret Manager. Consulte a documentação do CMEK para saber como configurar e usar chaves de criptografia gerenciadas pelo cliente.

    A seguir