Criar programações de rotação no Secret Manager

O Secret Manager permite programar rotações periódicas dos seus secrets. O Secret Manager faz isso enviando notificações para tópicos do Pub/Sub associados aos seus secrets, com base na frequência e no tempo de rotação especificados. Nesta página, descrevemos como configurar essas programações de rotação.

Como funcionam as notificações de rotação de secrets

O Secret Manager aciona uma mensagem SECRET_ROTATE para os tópicos designados do Pub/Sub no next_rotation_time do secret. Há duas maneiras de determinar esse carimbo de data/hora:

1. Definido pelo usuário: é possível especificar o next_rotation_time ao criar ou atualizar o secret.

2. Período de rotação: se você definir um rotation_period, o Secret Manager vai calcular automaticamente o next_rotation_time. O Secret Manager envia a mensagem SECRET_ROTATE após o rotation_period especificado ter decorrido e atualiza o next_rotation_time para programar a próxima rotação.

Você precisa configurar um assinante do Pub/Sub para receber e agir com base nas mensagens SECRET_ROTATE. Talvez seja necessário configurar outros fluxos de trabalho em resposta a essas notificações, como criar uma nova versão do secret e implantar as mudanças nos aplicativos.

Requisitos e considerações para programações de rotação de chaves secretas

• Os tópicos do Pub/Sub precisam ser configurados no secret. Para saber como criar um tópico e uma assinatura do Pub/Sub, consulte o guia de início rápido do Pub/Sub. Para saber como configurar tópicos em um secret, consulte Notificações de eventos para o Secret Manager.

• O next_rotation_time precisará ser definido se rotation_period for especificado.

• next_rotation_time não pode ser definido para menos de cinco minutos no futuro.

• A rotation_period não pode ter menos de uma hora de duração. Para orientações de formatação de carimbo de data/hora, consulte a referência de data/hora doGoogle Cloud .

• Embora o Secret Manager tente novamente as tentativas de entrega de mensagens com falha, não podemos garantir a entrega se houver configurações incorretas relacionadas ao secret, à configuração do tópico, permissões ou cotas.

• As rotações em andamento precisam ser concluídas antes da outra rotação para evitar que rotações simultâneas produzam comportamentos inesperados. As notificações são consideradas em trânsito enquanto o Secret Manager está tentando enviar a mensagem para o Pub/Sub. As rotações programadas serão ignoradas se houver uma rotação em andamento. O Secret Manager tenta repetir automaticamente as tentativas com falha de enviar uma mensagem por até sete dias. Depois desse período, a rotação é cancelada.

Configurar a rotação em um secret

É possível configurar uma programação de rotação usando o console Google Cloud , a Google Cloud CLI ou a API Secret Manager.

gcloud secrets create SECRET_ID \
  --replication-policy "automatic" \
  --next-rotation-time="NEXT_ROTATION_TIME" \
  --rotation-period="ROTATION_PERIOD" \
  --topics="FULL_TOPIC_NAME"

gcloud secrets create SECRET_ID `
  --replication-policy "automatic" `
  --next-rotation-time="NEXT_ROTATION_TIME" `
  --rotation-period="ROTATION_PERIOD" `
  --topics="FULL_TOPIC_NAME"

gcloud secrets create SECRET_ID ^
  --replication-policy "automatic" ^
  --next-rotation-time="NEXT_ROTATION_TIME" ^
  --rotation-period="ROTATION_PERIOD" ^
  --topics="FULL_TOPIC_NAME"

POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID

{
  "replication":{
    "automatic":{}
  },
  "topics": {"name" : "projects/$PROJECT_ID/topics/$TOPIC_NAME"},
  "rotation":
    {
      "next_rotation_time": "2021-06-01T09:00:00Z",
      "rotation_period" : '2592000s'
    },
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"1621434abc8dc4\"",
  "rotation": {
    "nextRotationTime": "2024-09-10T09:00:00Z",
    "rotationPeriod": "2592000s"
  }
}

Atualizar as configurações de rotação de um secret

É possível atualizar as seguintes configurações de rotação ao fazer uma solicitação de atualização:

• rotation: refere-se a toda a configuração de rotação do secret.

• rotation.next_rotation_time: isso tem como alvo especificamente o carimbo de data/hora que indica quando a próxima rotação pode ocorrer.

• rotation.rotation_period: especifica a duração entre cada rotação.

Para atualizar as configurações de rotação do secret, use um dos seguintes métodos:

gcloud secrets update SECRET_ID \
  --next-rotation-time="NEXT_ROTATION_TIME"

gcloud secrets update SECRET_ID `
  --next-rotation-time="NEXT_ROTATION_TIME"

gcloud secrets update SECRET_ID ^
  --next-rotation-time="NEXT_ROTATION_TIME"

PATCH https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time

{
  "rotation": {"next_rotation_time": "NEXT_ROTATION_TIME"}
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"1621434abc8dc4\"",
  "rotation": {
    "nextRotationTime": "2024-09-10T09:00:00Z",
    "rotationPeriod": "2592000s"
  }
}

Desativar a rotação em um secret

Para desativar a rotação de secrets, use um dos seguintes métodos:

gcloud secrets update SECRET_ID \
    --remove-next-rotation-time

gcloud secrets update SECRET_ID `
    --remove-next-rotation-time

gcloud secrets update SECRET_ID ^
    --remove-next-rotation-time

gcloud secrets update SECRET_ID \
    --remove-rotation-schedule

gcloud secrets update SECRET_ID `
    --remove-rotation-schedule

gcloud secrets update SECRET_ID ^
    --remove-rotation-schedule

PATCH https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time

{}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation.next_rotation_time" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"16214530fa18d3\""
}

PATCH https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation

{}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/$PROJECT_ID/secrets/$SECRET_ID?updateMask=rotation" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T04:06:00.660420Z",
  "topics": [
    {
      "name": "projects/PROJECT_ID/topics/TOPIC_NAME"
    }
  ],
  "etag": "\"16214530fa18d3\""
}

A seguir

• Saiba como ativar as chaves de criptografia gerenciadas pelo cliente (CMEK) para o Secret Manager.
• Saiba como usar ETags para controle de simultaneidade otimista.