Panoramica di Secret Manager

Secret Manager è un servizio di gestione di secret e credenziali che ti consente di archiviare e gestire dati sensibili come chiavi API, nomi utente, password, certificati e altro ancora.

Un secret è una risorsa globale che contiene una raccolta di metadati e versioni del secret. I metadati possono includere etichette, annotazioni e autorizzazioni.

Una versione del secret memorizza i dati effettivi del secret, ad esempio chiavi API, password o certificati. Ogni versione è identificata da un ID o un timestamp univoco.

Con Secret Manager puoi:

  • Gestisci il rollback, il recupero e il controllo utilizzando le versioni: le versioni ti aiutano a gestire le implementazioni graduali e il rollback di emergenza. Se un segreto viene modificato o compromesso per errore, puoi ripristinare una versione precedente nota come valida. In questo modo vengono ridotti al minimo i potenziali tempi di inattività e le violazioni della sicurezza. Il controllo delle versioni mantiene un record storico delle modifiche apportate a un segreto, inclusi chi ha apportato le modifiche e quando. Ti aiuta a controllare i dati riservati e a monitorare eventuali tentativi di accesso non autorizzati. Puoi bloccare le versioni dei secret su workload specifici e aggiungere alias per accedere più facilmente ai dati dei secret. Puoi anche disattivare o eliminare le versioni dei secret che non ti occorrono.

  • Crittografa i dati delle chiavi segrete in transito e at-rest: tutte le chiavi segrete sono criptate per impostazione predefinita, sia in transito con TLS sia at-rest con chiavi di crittografia AES a 256 bit. Per chi richiede un controllo più granulare, puoi criptare i dati segreti con le chiavi di crittografia gestite dal cliente (CMEK). Con CMEK puoi generare nuove chiavi di crittografia o importarne di esistenti per soddisfare i tuoi requisiti specifici.

  • Gestisci l'accesso ai secret utilizzando ruoli e condizioni IAM (Identity and Access Management) granulari: con le autorizzazioni e i ruoli IAM, puoi fornire l'accesso granulare a risorse Secret Manager specifiche. Puoi separare le responsabilità per l'accesso, la gestione, il controllo e la rotazione dei secret.

  • Garantisci l'alta disponibilità e il ripristino di emergenza con la replica dei secret: puoi replicare i tuoi secret in più regioni per garantire l'alta disponibilità e il ripristino di emergenza per le tue applicazioni, indipendentemente dalla loro posizione geografica. Puoi scegliere tra i seguenti criteri di replica:

    • Replicazione automatica: Google decide le regioni tenendo conto della disponibilità e della latenza. Ti viene addebitato solo un costo per una località.

    • Replica gestita dall'utente: puoi selezionare un insieme personalizzato di regioni in base ai tuoi requisiti. Ti viene addebitato un costo per ogni località.

  • Gestisci la rotazione automatica dei secret per soddisfare i requisiti di sicurezza e conformità: la rotazione dei secret protegge da accessi non autorizzati e violazioni dei dati. La modifica regolare dei secret riduce il rischio di secret obsoleti o dimenticati e garantisce la conformità a molti framework normativi che richiedono la rotazione periodica delle credenziali sensibili.

  • Applica la residenza dei dati utilizzando i secret regionali: La residenza dei dati richiede che determinati tipi di dati, spesso appartenenti a persone o organizzazioni specifiche, vengano archiviati in una posizione geografica definita. Puoi creare secret regionali e archiviare i tuoi dati sensibili in una posizione specifica per rispettare le leggi e le normative sulla sovranità dei dati.

    • Differenza tra gestione dei secret e gestione delle chiavi

    La gestione dei secret e la gestione delle chiavi sono entrambi componenti fondamentali della sicurezza dei dati, ma hanno scopi distinti e gestiscono diversi tipi di informazioni sensibili. La scelta tra la gestione dei secret e la gestione delle chiavi dipende dalle tue esigenze specifiche. Se vuoi archiviare e gestire in modo sicuro i dati riservati, un sistema di gestione dei secret è lo strumento giusto. Se vuoi gestire le chiavi di crittografia ed eseguire operazioni di crittografia, un sistema di gestione delle chiavi è la scelta migliore.

    Puoi utilizzare la tabella seguente per comprendere le differenze principali tra Secret Manager e un sistema di gestione delle chiavi, come Cloud Key Management Service(Cloud KMS).

    Funzionalità Secret Manager Cloud KMS
    Funzione principale Archivia, gestisci e accedi ai secret come blob binari o stringhe di testo. Gestisci le chiavi di crittografia e utilizzale per criptare o decriptare i dati.
    Dati memorizzati Valori effettivi dei secret. Con le autorizzazioni appropriate, puoi visualizzare i contenuti della chiave. Chiavi crittografiche. Non puoi visualizzare, estrarre o esportare i segreti cryptographic (i bit e i byte) effettivi utilizzati per le operazioni di crittografia e decrittografia.
    Crittografia Crittografa i secret at-rest e in transito utilizzando chiavi gestite da Google o chiavi gestite dal cliente. Fornisce funzionalità di crittografia e decrittografia per altri servizi.
    Casi d'uso tipici Archivia informazioni di configurazione come password di database, chiavi API o certificati TLS richiesti da un'applicazione in fase di runtime. Gestire carichi di lavoro di crittografia di grandi dimensioni, ad esempio la crittografia di righe in un database o la crittografia di dati binari come immagini e file. Puoi anche utilizzare Cloud KMS per eseguire altre operazioni di crittografia, come la firma e la verifica.

    Crittografia dei secret

    Secret Manager cripta sempre i dati dei secret prima che vengano resi permanenti su disco. Per scoprire di più sulle opzioni di crittografia di Google Cloud, consulta Crittografia at-rest.

    Secret Manager gestisce per tuo conto le chiavi di crittografia lato server utilizzando gli stessi sistemi di gestione delle chiavi avanzati che utilizziamo per i nostri dati criptati, inclusi controlli e verifiche rigorosi dell'accesso alle chiavi. Secret Manager cripta i dati inattivi degli utenti utilizzando AES-256. Non è richiesta alcuna configurazione, non è necessario modificare il modo in cui accedi al servizio e non ha alcun impatto visibile sul rendimento. I tuoi dati segreti vengono decriptati automaticamente e in modo trasparente quando un utente autorizzato vi accede.

    L'API Secret Manager comunica sempre tramite una connessione HTTP(S) sicura.

    Chi ha bisogno di un ulteriore livello di protezione può attivare le chiavi CMEK e utilizzare le proprie chiavi di crittografia archiviate in Cloud Key Management Service per proteggere i secret archiviati in Secret Manager. Consulta la documentazione CMEK per informazioni dettagliate su come configurare e utilizzare le chiavi di crittografia gestite dal cliente.

    Passaggi successivi