Maak seker wat vir u besigheid belangrik is.
Daar is baie om na te dink as jy met houers, Kubernetes, wolk en geheime werk. Benewens die keuse en uitvoering van verskillende instrumente, moet u die beste praktyke rakende identiteits- en toegangsbestuur gebruik en in verband bring.
Of u nou 'n ontwikkelaar of 'n professionele persoon in sysadmin is, u moet duidelik maak dat u die regte keusemiddele het om u omgewings veilig te hou. Toepassings benodig toegang tot konfigurasiedata om reg te kan werk. En hoewel die meeste konfigurasiedata nie-sensitief is nie, moet sommige vertroulik bly. Hierdie snare staan ​​bekend as geheime.
Wel, as u 'n betroubare toepassing bou, is die kans goed dat u funksies nodig het om toegang tot geheime of enige ander sensitiewe inligting te verkry. Hierdie afskeiding sluit die volgende in:
Sensitiewe konfigurasie-instellings (e-posadres, gebruikersname, ontfout-vlae, ens.)
Dit kan egter 'n moeilike taak wees om hierdie geheime veilig te versorg. Hier is 'n paar wenke vir ontwikkelaars en Sysadmins:
0.0.1 Die afhanklikheid van pleisterfunksies
0.0.2 Gebruik API-gateways as 'n sekuriteitsbuffer
0.0.3 Beveilig en verifieer data tydens vervoer
0.0.4 Volg veilige koderingsreëls vir toepassingskode
0.0.5 Bestuur geheime in veilige berging
2 AWS geheime bestuurder
Die afhanklikheid van pleisterfunksies
Onthou altyd om die biblioteke op te spoor wat in die funksies gebruik word en die kwesbaarhede te merk deur dit deurlopend te monitor.
Gebruik API-gateways as 'n sekuriteitsbuffer
Moenie funksies presies aan gebruikersinteraksie blootstel nie. Gebruik die API-gatewayfunksies van u wolkverskaffers om 'n ander laag sekuriteit bo u funksie in te sluit.
Beveilig en verifieer data tydens vervoer
Maak seker dat u HTTPS gebruik vir 'n veilige kommunikasiekanaal en om SSL-sertifikate te verifieer om die identiteit op afstand te beskerm.
Volg veilige koderingsreëls vir toepassingskode
Met geen bedieners om te hack nie, sal aanvallers hul gedagtes op die toepassingslaag rig, dus wees ekstra versigtig om u kode te beskerm.
Bestuur geheime in veilige berging
Sensitiewe inligting kan maklik uitgelek word, en verouderde geloofsbriewe is geskik vir aanvalle op die reënboog as u versuim om behoorlike geheime bestuursoplossings aan te neem. Onthou om nie geheime in die toepassingsstelsel, omgewingveranderlikes of in 'n bronkode-bestuurstelsel te stoor nie.
Sleutelbestuur in die samewerkende wêreld is baie pynlik as gevolg van, onder andere, 'n gebrek aan kennis en hulpbronne. In plaas daarvan sluit sommige maatskappye die enkripsiesleutels en ander sagtewaregeheime direk in die bronkode in vir die toepassing wat dit gebruik, wat die risiko inhou om die geheime bloot te lê.
As gevolg van die gebrek aan te veel oplossings op die rak, het baie ondernemings probeer om hul eie gereedskap vir die bestuur van geheime te bou. Hier is 'n paar wat u kan gebruik om u behoeftes te bevredig.
HashiCorp Vault is 'n instrument om geheime veilig te bewaar en te bekom.
Dit bied 'n verenigde koppelvlak tot die geheim, terwyl u noukeurige toegangsbeheer behou en 'n uitgebreide ouditlogboek aanteken. Dit is 'n instrument wat gebruikersapplikasies en basis beveilig om die oppervlakruimte en die aanvalstyd in die geval van 'n oortreding te beperk. Dit gee 'n API wat toegang gee tot geheime gebaseer op beleid. Enige gebruiker van die API moet die geheime waarvoor hy gemagtig is om te besigtig, verifieer en slegs sien.
Vault kodifiseer data met behulp van 256-bis AES met GCM.
Dit kan data versamel in verskillende agterdele soos Amazon DynamoDB, Consul, en nog baie meer. Vir ouditdienste ondersteun Vault die aanteken van 'n plaaslike lêer, 'n Syslog-bediener of direk na 'n sok. Vault log inligting oor die kliënt wat 'n aksie uitgevoer het, die IP-adres van die kliënte, die handeling en op watter tydstip dit uitgevoer is
Begin of herbegin behels altyd dat een of meer operateurs die kluis ongesluit het. Dit werk hoofsaaklik met tekens. Elke teken word gegee aan 'n beleid wat die aksies en paaie kan beperk. Die belangrikste kenmerke van die kluis is:
Dit versleutel en dekripteer data sonder om dit te stoor.
Gewelf kan geheime op aanvraag vir sommige bedrywighede, soos AWS of SQL-databasisse, opwek.
Laat replikasie toe oor verskillende datasentrums.
Vault het 'n ingeboude beskerming vir geheime herroeping.
Dien as 'n geheime bewaarplek met toegangsbeheerbesonderhede.
AWS geheime bestuurder
U het AWS op hierdie lys verwag. Het jy nie?
AWS het 'n oplossing vir elke probleem.
AWS geheime bestuurder stel u in staat om databasisbewyse, API-sleutels en ander wagwoorde vinnig te roteer, te bestuur en op te spoor. Met behulp van Secrets Manager kan u geheime beveilig, ontleed en bestuur wat nodig is om toegang te verkry tot die funksies in die AWS Cloud, op derdeparty-dienste en op die perseel.
Secrets Manager stel u in staat om toegang tot geheime te bestuur met behulp van fynkorrige toestemmings. Die belangrikste kenmerke van AWS Secrets Manager is:
Enkripteer geheime in rus met enkripsiesleutels.
Ontkryp ook die geheim en dan word dit veilig oor TLS oorgedra
Voorsien kodemonsters wat help om Secrets Manager API's te skakel
Dit het caching-biblioteke aan die kant van die kliënt om die beskikbaarheid te verbeter en die vertraging van die gebruik van u geheime te verminder.
Konfigureer Amazon VPC (Virtual Private Cloud) eindpunte om verkeer binne die AWS-netwerk te hou.
Vierkantige Keywhiz help met infrastruktuurgeheime, GPG-sleutelwoorde, databasisbewyse, insluitend TLS-sertifikate en -sleutels, simmetriese sleutels, API-tokens en SSH-sleutels vir eksterne dienste. Keywhiz is 'n instrument om geheime te hanteer en te deel.
Die outomatisering in Keywhiz stel ons in staat om die noodsaaklike geheime vir ons dienste naatloos te versprei en op te stel, wat 'n konsekwente en veilige omgewing vereis. Die belangrikste kenmerke van Keywhiz is:
Keywhiz Server bied JSON API's vir die versameling en bestuur van geheime.
Dit stoor alle geheime slegs in die geheue en word nooit op die skyf herhaal nie
Die UI is gemaak met AngularJS sodat gebruikers die UI kan bekragtig en gebruik.
vertroueling is 'n geheime bestuurhulpmiddel met 'n oop bron wat gebruikersvriendelike berging en toegang tot geheime veilig kan onderhou. Confidant bêre geheime op 'n bykomende manier in DynamoDB en genereer 'n unieke KMS-datasleutel vir elke wysiging van al die geheim, met behulp van Fernet-simmetriese geverifieerde kriptografie.
Dit bied 'n AngularJS-webkoppelvlak wat eindgebruikers bied om geheime, die vorms van geheime vir dienste en die rekord van veranderinge doeltreffend te bestuur. Sommige van die funksies sluit in:
Rus-kodering van weergawe-geheime
'N Gebruikervriendelike webkoppelvlak om geheime te bestuur
Genereer tokens wat toegepas kan word vir verifiëring van diens tot diens, of om geïnkripteer boodskappe tussen dienste deur te gee.
kluis is 'n handige hulpmiddel wat geheime soos toegangstoken, privaat sertifikate en enkripsiesleutels hanteer, berg en herwin. Strongbox is 'n gemaklike laag aan kliënte. Dit hou die AWS-bronne vir u in, en dit kan dit ook veilig opgestel word.
U kan u volledige stel wagwoorde en geheime vinnig en effektief ondersoek met die diepgaande soektog. U het die opsie om die geloofsbriewe plaaslik of die wolk te stoor. As u 'n wolk kies, kan u kies om in iCloud, Dropbox, OneDrive, Google Drive, WebDAV, ens. Te stoor.
Strongbox is veilig met ander wagwoorde.
Bly u programme op Azure? As ja, dan is dit 'n goeie keuse.
Azure Key Vault stel gebruikers in staat om alle geheime (sleutels, sertifikate, verbindingstringe, wagwoorde, ens.) vir hul wolktoepassing op 'n spesifieke plek te bestuur. Dit is buite die kassie geïntegreer met die oorsprong en teikens van geheime in Azure. Dit kan verder gebruik word deur toepassings buite Azure.
U kan ook gebruik om prestasie te verbeter deur die vertraging van u wolk-toepassings te verkort deur kriptografiese sleutels in die wolk te stoor, in plaas van op die perseel.
Asuur kan help om die beveiliging en nakoming van data te bereik.
Docker-geheime laat u die geheim maklik byvoeg by die groep, en dit word slegs gedeel oor die onderling geverifieerde TLS-verbindings. Dan word die data na die bestuursknooppunt bereik in Docker-geheime, en dit word outomaties in die interne Raft-winkel gestoor, wat verseker dat data gekodeer moet word.
Docker-geheime kan maklik toegepas word om die data te bestuur en sodoende dit oor te dra na die houers wat toegang daartoe het. Dit verhoed dat die geheime lek wanneer dit deur die toepassing opgebruik word.
Knox, ontwikkel deur die sosiale mediaplatform Pinterest om hul probleem op te los met die handmatige bestuur van sleutels en om 'n ouditspoor te hou. Knox is in Go geskryf, en kliënte kommunikeer met die Knox-bediener met behulp van 'n REST-API.
Knox gebruik 'n vlugtige tydelike databasis vir die stoor van sleutels. Dit versleutelt die data wat in die databasis gestoor is met behulp van AES-GCM met 'n hoofkripsiesleutel. Knox is ook beskikbaar as 'n Docker-afbeelding.
Ek hoop dat bogenoemde u 'n idee gee oor 'n paar van die beste sagteware om toepassingsbewyse te bestuur.