Présentation de Secret Manager

Secret Manager est un service de gestion des secrets et des identifiants qui vous permet de stocker et de gérer des données sensibles telles que des clés API, des noms d'utilisateur, des mots de passe, des certificats, etc.

Un secret est une ressource globale qui contient un ensemble de métadonnées et de versions de secrets. Les métadonnées peuvent inclure des libellés, des annotations et des autorisations.

Une version de secret stocke les données réelles du secret, telles que les clés API, les mots de passe ou les certificats. Chaque version est identifiée par un ID ou un code temporel unique.

Le Gestionnaire de secrets vous permet d'effectuer les opérations suivantes:

  • Gérer le rollback, la récupération et l'audit à l'aide des versions: les versions vous aident à gérer les déploiements progressifs et le rollback d'urgence. Si un secret est modifié ou compromis accidentellement, vous pouvez revenir à une version précédente fiable. Cela réduit les temps d'arrêt et les violations de sécurité potentiels. La gestion des versions conserve un historique des modifications apportées à un secret, y compris l'auteur et la date des modifications. Elle vous aide à auditer les données secrètes et à suivre les tentatives d'accès non autorisées. Vous pouvez épingler des versions de secrets à des charges de travail spécifiques et ajouter des alias pour accéder plus facilement aux données secrètes. Vous pouvez également désactiver ou détruire les versions de secret dont vous n'avez pas besoin.

  • Chiffrez vos données secrètes en transit et au repos: tous les secrets sont chiffrés par défaut, à la fois en transit à l'aide de TLS et au repos avec des clés de chiffrement AES-256. Si vous avez besoin d'un contrôle plus précis, vous pouvez chiffrer vos données secrètes avec des clés de chiffrement gérées par le client (CMEK). Avec CMEK, vous pouvez générer de nouvelles clés de chiffrement ou en importer des existantes pour répondre à vos exigences spécifiques.

  • Gérez l'accès aux secrets à l'aide de rôles et de conditions IAM (Identity and Access Management) précis : avec les rôles et autorisations IAM, vous pouvez accorder un accès précis à des ressources Secret Manager spécifiques. Vous pouvez séparer les responsabilités d'accès, de gestion, d'audit et de rotation des secrets.

  • Assurez la haute disponibilité et la reprise après sinistre grâce à la réplication de secrets: vous pouvez répliquer vos secrets dans plusieurs régions pour garantir la haute disponibilité et la reprise après sinistre de vos applications, quel que soit leur emplacement géographique. Vous pouvez choisir l'une des règles de réplication suivantes:

    • Réplication automatique: Google choisit les régions en fonction de la disponibilité et de la latence. Seul un emplacement vous est facturé.

    • Replication gérée par l'utilisateur: vous pouvez sélectionner un ensemble personnalisé de régions en fonction de vos besoins. Vous êtes facturé par emplacement.

  • Faites tourner automatiquement les secrets pour répondre à vos exigences de sécurité et de conformité : la rotation des secrets vous protège contre les accès non autorisés et les violations de données. Modifier régulièrement vos secrets réduit le risque de secrets obsolètes ou oubliés, et garantit la conformité avec de nombreux cadres réglementaires qui exigent une rotation périodique des identifiants sensibles.

  • Appliquer la résidence des données à l'aide de secrets régionaux : la résidence des données exige que certains types de données, souvent appartenant à des personnes ou à des organisations spécifiques, soient stockés dans un emplacement géographique défini. Vous pouvez créer des secrets régionaux et stocker vos données sensibles dans un emplacement spécifique afin de respecter les lois et règlements sur la souveraineté des données.

    • Différence entre la gestion des secrets et la gestion des clés

    La gestion des secrets et la gestion des clés sont toutes deux des composants essentiels de la sécurité des données, mais elles ont des objectifs distincts et gèrent différents types d'informations sensibles. Le choix entre la gestion des secrets et la gestion des clés dépend de vos besoins spécifiques. Si vous souhaitez stocker et gérer des données confidentielles de manière sécurisée, un système de gestion des secrets est l'outil idéal. Si vous souhaitez gérer des clés de chiffrement et effectuer des opérations cryptographiques, un système de gestion des clés est le meilleur choix.

    Vous pouvez utiliser le tableau suivant pour comprendre les principales différences entre Secret Manager et un système de gestion des clés, tel que Cloud Key Management Service(Cloud KMS).

    Caractéristique Secret Manager Cloud KMS
    Fonction principale Stockez, gérez et accédez aux secrets sous forme de blobs binaires ou de chaînes de texte. Gérez les clés cryptographiques et utilisez-les pour chiffrer ou déchiffrer des données.
    Données enregistrées Valeurs réelles des secrets. Muni des autorisations appropriées, vous pouvez afficher le contenu du secret. Clés cryptographiques Vous ne pouvez pas afficher, extraire ni exporter les secrets cryptographiques réels (les bits et les octets) utilisés pour les opérations de chiffrement et de déchiffrement.
    Chiffrement Chiffre les secrets au repos et en transit à l'aide de clés gérées par Google ou par le client. Fournit des fonctionnalités de chiffrement et de déchiffrement pour d'autres services.
    Cas d'utilisation types Stockez des informations de configuration telles que les mots de passe de base de données, les clés API ou les certificats TLS requis par une application lors de son exécution. Gérez de grandes charges de travail de chiffrement, par exemple pour chiffrer des lignes dans une base de données ou chiffrer des données binaires comme des images et des fichiers. Vous pouvez également utiliser Cloud KMS pour effectuer d'autres opérations de chiffrement comme la signature et la validation.

    Chiffrement des secrets

    Secret Manager chiffre toujours vos données secrètes avant qu'elles ne soient conservées sur le disque. Pour en savoir plus sur les options de chiffrement de Google Cloud, consultez la page Chiffrement au repos.

    Secret Manager gère les clés de chiffrement côté serveur en votre nom à l'aide des mêmes systèmes de gestion de clés renforcés que nous utilisons pour nos propres données chiffrées, y compris les audits et les contrôles stricts d'accès aux clés. Secret Manager chiffre les données utilisateur au repos à l'aide de l'algorithme AES-256. Aucune installation ou configuration n'est requise. Par ailleurs, il n'est pas nécessaire de modifier le mode d'accès au service, et aucun impact visible sur les performances n'est constaté. Les données des secrets sont déchiffrées automatiquement et de manière transparente lorsqu'un utilisateur autorisé y accède.

    L'API Secret Manager communique toujours via une connexion HTTP(S) sécurisée.

    Les utilisateurs qui ont besoin d'une couche de protection supplémentaire peuvent activer CMEK et utiliser leurs propres clés de chiffrement stockées dans Cloud Key Management Service pour protéger les secrets stockés dans Secret Manager. Pour en savoir plus sur la configuration et l'utilisation des clés de chiffrement gérées par le client, consultez la documentation CMEK.

    Étape suivante