Crear programaciones de rotación en Secret Manager

Secret Manager te permite programar rotaciones periódicas de tus secretos. Secret Manager lo hace enviando notificaciones a los temas de Pub/Sub asociados a tus secretos, en función de la frecuencia y la hora de rotación que especifiques. En esta página se describe cómo configurar estas rotaciones.

Cómo funcionan las notificaciones de rotación de secretos

Secret Manager activa un mensaje SECRET_ROTATE en los temas de Pub/Sub designados en el next_rotation_time del secreto. Hay dos formas de determinar esta marca de tiempo:

1. Definido por el usuario: puedes especificar el next_rotation_time al crear o actualizar el secreto.

2. Periodo de rotación: si defines un rotation_period, Secret Manager calcula automáticamente el next_rotation_time. Secret Manager envía el mensaje SECRET_ROTATE cuando ha transcurrido el tiempo rotation_period especificado y, a continuación, actualiza el next_rotation_time para programar la siguiente rotación.

Debe configurar un suscriptor de Pub/Sub para recibir y actuar en los mensajes SECRET_ROTATE. También es posible que tengas que configurar flujos de trabajo adicionales en respuesta a estas notificaciones, como crear una nueva versión del secreto e implementar los cambios en tus aplicaciones.

Requisitos y consideraciones de las programaciones de rotación de secretos

• Los temas de Pub/Sub deben configurarse en el secreto. Para saber cómo crear un tema y una suscripción de Pub/Sub, consulta la guía de inicio rápido de Pub/Sub. Para obtener información sobre cómo configurar temas en un secreto, consulte Notificaciones de eventos de Secret Manager.

• next_rotation_time debe definirse si se especifica rotation_period.

• next_rotation_time no se puede programar para dentro de menos de cinco minutos.

• La rotation_period no puede durar menos de una hora. Para obtener información sobre el formato de las marcas de tiempo, consulta la Google Cloud referencia de fecha y hora.

• Aunque Secret Manager vuelve a intentar automáticamente la entrega de mensajes fallida, no podemos garantizar que se realice correctamente si hay errores de configuración relacionados con el secreto, la configuración del tema, los permisos o las cuotas.

• Las rotaciones en curso deben completarse antes de que se pueda iniciar otra rotación para evitar que las rotaciones simultáneas provoquen un comportamiento inesperado. Las notificaciones se consideran en tránsito mientras Secret Manager intenta enviar el mensaje a Pub/Sub. Las rotaciones programadas se omiten si hay una rotación en curso. Secret Manager vuelve a intentar automáticamente enviar un mensaje durante un máximo de siete días. Después, se cancela la rotación.

Configurar la rotación de un secreto

Puedes configurar una programación de rotación con la Google Cloud consola, la CLI de Google Cloud o la API Secret Manager.

gcloud secrets create SECRET_ID \
  --replication-policy "automatic" \
  --next-rotation-time="NEXT_ROTATION_TIME" \
  --rotation-period="ROTATION_PERIOD" \
  --topics="FULL_TOPIC_NAME"

gcloud secrets create SECRET_ID `
  --replication-policy "automatic" `
  --next-rotation-time="NEXT_ROTATION_TIME" `
  --rotation-period="ROTATION_PERIOD" `
  --topics="FULL_TOPIC_NAME"

gcloud secrets create SECRET_ID ^
  --replication-policy "automatic" ^
  --next-rotation-time="NEXT_ROTATION_TIME" ^
  --rotation-period="ROTATION_PERIOD" ^
  --topics="FULL_TOPIC_NAME"

POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID

{
  "replication":{
    "automatic":{}
  },
  "topics": {"name" : "projects/$PROJECT_ID/topics/$TOPIC_NAME"},
  "rotation":
    {
      "next_rotation_time": "2021-06-01T09:00:00Z",
      "rotation_period" : '2592000s'
    },
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"1621434abc8dc4\"",
  "rotation": {
    "nextRotationTime": "2024-09-10T09:00:00Z",
    "rotationPeriod": "2592000s"
  }
}

Actualizar la configuración de rotación de un secreto

Puede actualizar los siguientes ajustes de rotación al enviar una solicitud de actualización:

• rotation: hace referencia a toda la configuración de rotación del secreto.

• rotation.next_rotation_time: se dirige específicamente a la marca de tiempo que indica cuándo podría producirse la próxima rotación.

• rotation.rotation_period: especifica la duración entre cada rotación.

Para actualizar los ajustes de rotación del secreto, usa uno de los siguientes métodos:

gcloud secrets update SECRET_ID \
  --next-rotation-time="NEXT_ROTATION_TIME"

gcloud secrets update SECRET_ID `
  --next-rotation-time="NEXT_ROTATION_TIME"

gcloud secrets update SECRET_ID ^
  --next-rotation-time="NEXT_ROTATION_TIME"

PATCH https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time

{
  "rotation": {"next_rotation_time": "NEXT_ROTATION_TIME"}
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"1621434abc8dc4\"",
  "rotation": {
    "nextRotationTime": "2024-09-10T09:00:00Z",
    "rotationPeriod": "2592000s"
  }
}

Inhabilitar la rotación de un secreto

Para inhabilitar la rotación de secretos, utilice uno de los siguientes métodos:

gcloud secrets update SECRET_ID \
    --remove-next-rotation-time

gcloud secrets update SECRET_ID `
    --remove-next-rotation-time

gcloud secrets update SECRET_ID ^
    --remove-next-rotation-time

gcloud secrets update SECRET_ID \
    --remove-rotation-schedule

gcloud secrets update SECRET_ID `
    --remove-rotation-schedule

gcloud secrets update SECRET_ID ^
    --remove-rotation-schedule

PATCH https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time

{}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"16214530fa18d3\""
}

PATCH https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation

{}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"16214530fa18d3\""
}

Siguientes pasos

• Consulta cómo habilitar las claves de encriptado gestionadas por el cliente (CMEK) en Secret Manager.
• Consulta cómo usar ETags para el control de simultaneidad optimista.