Rotationspläne in Secret Manager erstellen

Secret Manager unterstützt Rotationspläne für Secrets. Secret Manager sendet Nachrichten an Pub/Sub-Themen, die für das Secret basierend auf der bereitgestellten Rotationshäufigkeit und Rotationszeit konfiguriert wurden. In diesem Thema erfahren Sie, wie Sie oder regelmäßige Zeitpläne für deine Geheimnisse, um Benachrichtigungen zu erhalten, wenn es Zeit ist, das Secret zu rotieren.

Regelmäßige Rotation von Secrets hilft bei Folgendem:

  • Zeitraum begrenzen, für die ein gehacktes Secret gültig bleibt und eine Sicherheitslücke verursacht
  • Kontinuierlich einen Rotationsworkflow ausführen, um die Prozesszuverlässigkeit zu gewährleisten

Funktionsweise

Secret Manager sendet zur next_rotation_time des Secrets eine SECRET_ROTATE-Nachricht an die Pub/Sub-Themen, die für das Secret konfiguriert wurden. Es gibt zwei Möglichkeiten, diesen Zeitstempel festzulegen:

  1. Wird vom Nutzer beim Erstellen oder Aktualisieren des Secrets bereitgestellt.

  2. Wenn eine rotation_period angegeben ist, sendet Secret Manager eine SECRET_ROTATE-Nachricht nach der verstrichenen rotation_period. next_rotation_time wird geändert zu die neue nächste Rotationszeit.

Sie müssen einen Pub/Sub-Abonnenten konfigurieren, um SECRET_ROTATE-Nachrichten empfangen und bearbeiten zu können . Implementieren Sie bei Bedarf zusätzliche Workflows, z. B. das Hinzufügen einer neuen Secret-Version und das Auslösen von Anwendungsbereitstellungen.

Hinweise

  • Das Verwalten von Rotationsrichtlinien ist nur in der Secret Manager v1 API und in der Google Cloud CLI verfügbar.

  • Pub/Sub-Themen müssen für das Secret konfiguriert werden. Informationen zum Erstellen eines Pub/Sub-Themas und -Abos finden Sie unter Pub/Sub-Kurzanleitung. Informationen zum Konfigurieren von Themen für ein Secret finden Sie unter Ereignisbenachrichtigungen für Secret Manager.

  • next_rotation_time muss festgelegt werden, wenn rotation_period angegeben ist.

  • next_rotation_time darf nicht auf weniger als fünf Minuten in der Zukunft festgelegt werden. Die rotation_period darf nicht kürzer als eine Stunde sein. Eine Anleitung zur Formatierung von Zeitstempeln finden Sie in der Referenz zu „gcloud datetime“.

  • Übermittlungsfehler: Secret Manager wiederholt fehlgeschlagene Versuche automatisch um eine Nachricht zu senden. Secret Manager gibt keine Garantien für die Übermittlung, wenn eine Secret- oder Themenkonfiguration, Berechtigungen oder Kontingente falsch konfiguriert sind.

  • Aktive Rotationen müssen abgeschlossen sein, bevor eine andere Rotation gestartet werden kann, um zu verhindern, dass gleichzeitige Rotationen zu unerwartetem Verhalten führen. Benachrichtigungen sind während Secret Manager versucht, die Nachricht Pub/Sub Geplante Rotationen werden übersprungen, wenn eine Rotation aktiv ist. Secret Manager wiederholt fehlgeschlagene Versuche, eine Nachricht für Danach wird die Rotation abgebrochen.

Beispiele

Rotation für ein Secret konfigurieren

Erstellen Sie ein Secret mit einer next_rotation_time, das ab dem 1. Juni 2021 alle 30 Tage rotiert wird:

gcloud

gcloud secrets create secret-id \
    --replication-policy "automatic" \
    --next-rotation-time="2021-06-01T09:00:00Z" \
    --rotation-period="2592000s" \
    --topics="full-topic-name"

API

 curl "https://secretmanager.googleapis.com/v1/projects/${PROJECT_ID}/secrets?secretId=${SECRET_ID}" \
  --request "POST" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --data-binary @- <<EOF
{
"replication":{
  "automatic":{}
},
"topics": {"name" : "projects/${PROJECT_ID}/topics/${TOPIC_NAME}"},
"rotation":
  {
    "next_rotation_time": "2021-06-01T09:00:00Z",
    "rotation_period" : '2592000s'
  },
}
EOF

Rotationseinstellungen eines Secrets aktualisieren

Gültige updateMask-Pfade für die Rotation sind: rotation, rotation.next_rotation_time, rotation.rotation_period.

So aktualisieren Sie die next_rotation_time eines Secrets:

gcloud

gcloud secrets update secret-id \
  --next-rotation-time "2022-06-01T09:00:00Z"

API

  $ curl "https://secretmanager.googleapis.com/v1/projects/${PROJECT_ID}/secrets/${SECRET_ID}?updateMask=rotation.next_rotation_time" \
      --request "PATCH" \
      --header "Authorization: Bearer $(gcloud auth print-access-token)" \
      --header "Content-Type: application/json" \
      --data-binary @- <<EOF
  {
    "rotation": {"next_rotation_time": "2040-06-01T09:00:00Z"}
  }
  EOF

Rotation für ein Secret deaktivieren

Entfernen Sie den next_rotation_time eines Secrets:

gcloud

gcloud secrets update secret-id \
  --remove-next-rotation-time

API

  $ curl "https://secretmanager.googleapis.com/v1/projects/${PROJECT_ID}/secrets/${SECRET_ID}?updateMask=rotation.next_rotation_time" \
      --request "PATCH" \
      --header "Authorization: Bearer $(gcloud auth print-access-token)" \
      --header "Content-Type: application/json" \
      --data-binary @- <<EOF
  {}
  EOF

So entfernen Sie den Rotationsplan eines Secrets: Dadurch werden sowohl next_rotation_time als auch rotation_period entfernt.

gcloud

gcloud secrets update secret-id \
  --remove-rotation-schedule

API

  $ curl "https://secretmanager.googleapis.com/v1/projects/${PROJECT_ID}/secrets/${SECRET_ID}?updateMask=rotation" \
      --request "PATCH" \
      --header "Authorization: Bearer $(gcloud auth print-access-token)" \
      --header "Content-Type: application/json" \
      --data-binary @- <<EOF
  {}
  EOF

Nächste Schritte