Hallo und willkommen zurück.
Im heutigen Video werden wir über acht Managergeheimnisse sprechen.
Bevor wir diesen Dienst im Detail verstehen, ist es wichtig, dass wir uns mit den Herausforderungen,
denen sich die Organisation gegenübersieht, und den Grundlagen der Verwaltung von Geheimnissen beschäftigen.
Eines der häufigsten Sicherheitsprobleme, das in vielen Unternehmen auftritt, besteht darin, dass
die Geheimnisse direkt als Teil der Anwendung oder direkt als Teil des Servers hart kodiert sind.
Zum Beispiel haben Sie eine easy to Instanz, die mit der Datenbank kommunizieren will, und es gibt eine Art von Anwendung,
die auf dem AC zwei läuft. Damit diese EC zwei in der Lage ist, eine Verbindung zur Datenbank herzustellen, werden
die Anmeldeinformationen benötigt, der Datenbank-Benutzername, das Datenbank-Passwort und so weiter.
Alle diese Anmeldeinformationen sind in der Regel als Teil der Anwendung fest einkodiert
oder als Teil der EC2-Instanz konfiguriert.
Wenn also der Server kompromittiert wird, sind diese Anmeldedaten ebenfalls durchgesickert, und wenn diese
Anmeldedaten als Teil der Anwendung fest einkodiert sind, kann jeder, der Zugriff auf das zentrale Repository
hat, in dem der Anwendungscode gespeichert ist, auch auf diese Anmeldedaten zugreifen.
Eine weitere Herausforderung besteht darin, dass alle Server, auf denen die Anwendung installiert
ist, mit den neuesten Anmeldedaten aktualisiert werden müssen, wenn Sie die geheimen Anmeldedaten
ändern wollen.
Wenn einer der Server ausfällt, kann die Produktion unterbrochen werden.
Nehmen wir zum Beispiel an, Sie haben bestimmte Anmeldeinformationen, die als Teil Ihres Anwendungscodes in
easy to instance hinzugefügt wurden, und einige Mitglieder des Anwendungsteams verlassen nun das Unternehmen.
Was wollen Sie also?
Im Idealfall sollten Sie alle Anmeldedaten rotieren lassen, so dass das Teammitglied nach seinem Ausscheiden aus dem Unternehmen
diese Anmeldedaten nicht mehr verwenden oder weitergeben kann.
In solchen Fällen müssen Sie also die Anwendung aktualisieren und den neueren Anwendungscode bereitstellen oder die Datei mit den Anmeldeinformationen
ändern, die als Teil des Servers gespeichert ist.
Um diese und viele andere Herausforderungen zu bewältigen, wird ein Bereich für die Verwaltung von Geheimnissen
eingeführt.
Im Großen und Ganzen handelt es sich bei der Geheimnisverwaltung also um eine Praxis, die es den Entwicklern ermöglicht,
sensible Daten wie Kennwortschlüssel und Token in einer sicheren Umgebung mit strenger Zugriffskontrolle zu speichern.
Bei dieser Art von Architektur werden die Anmeldedaten nicht als Teil der Anwendung
fest kodiert, sondern in einem speziellen Tool gespeichert.
In diesem Fall handelt es sich um den Tresor von Hashicorp, und wann immer eine Anwendung eine Verbindung zur Datenbank herstellen möchte, kann
sie sich mit dem Tool zur Verwaltung von Geheimnissen verbinden, die neuesten Anmeldeinformationen abrufen und über diese Anmeldeinformationen
eine Verbindung zur Datenbank herstellen.
Im Bereich der Verwaltung von Geheimnissen gibt es verschiedene gängige Tools, die in der Branche verfügbar
sind.
Eine der sehr beliebten Lösungen, die Sie in Unternehmen finden, ist Hashicorp Vault.
Außerdem ist ein Geheimhaltungsmanager eines der Werkzeuge, die Sie im Rahmen der Verwaltung von Geheimnissen verwenden
können.
Ähnlich wie bei der früheren Architektur des Hashicorp-Tresors, die wir auf der vorherigen Folie gesehen haben,
gibt es hier den Secret Manager und die Easy-to-Instance kann die Anmeldedaten aus dem Secret Manager abrufen und dann
diese Anmeldedaten verwenden, um sich mit dem entsprechenden Endpunkt zu verbinden.
Einer der großen Vorteile von Secrets Manager ist, dass er verschiedene Dinge unterstützt, darunter die Speicherung von Berechtigungsnachweisen,
die Rotation von Berechtigungsnachweisen und andere Lebenszyklusereignisse.
Dies ist also die Grundlage. Gehen wir weiter und verstehen die Dinge im Detail.
Jetzt.
Erstens gibt es, wie wir gerade besprechen, verschiedene gängige Tools für die Verwaltung von Geheimnissen, die
in der Branche verfügbar sind.
Eine der sehr beliebten Lösungen, die Sie in Unternehmen und großen Organisationen finden, ist Hashicorp
Vault.
Der Tresor von Hashicorp ist mit einer Vielzahl von Funktionen ausgestattet und ermöglicht die grundlegende Speicherung und Verwaltung
von Geheimnissen.
Lassen Sie mich Ihnen das auch noch kurz zeigen.
Dies ist also die Hashicorp Vault-Konsole, in der Sie ein Geheimnis erstellen und einen Schlüssel sowie den entsprechenden
Wert hinzufügen können.
Wenn ich also "Test" und "Test" und "Teil des Geheimnisses" sage, klicke ich auf "Speichern", und das ist das Geheimnis,
das erstellt wird.
Darüber hinaus können Sie auch mehrere Versionen von Geheimnissen erstellen.
Sie können die Geheimnisse drehen und so weiter.
Die Idee ist also, dass alle Geheimnisse an einem zentralen Ort gespeichert werden, in diesem Fall im Hashicorp Vault,
und dass jede Anwendung oder jeder Entwickler, wenn er Anmeldedaten benötigt, diese aus dem Hashicorp Vault abrufen kann.
Das Tolle an der Hashicorp Vault-Lösung ist, dass sie eine Vielzahl von Engines unterstützt.
Also Ihr Active Directory ist Azure GCP, Sie haben SSH hier, Sie haben Datenbanken und verschiedene andere jetzt ähnlich
wie die Hashicorp Vault hat auch ein Geheimnis-Manager.
Auch hier sind die Funktionen nicht so umfangreich wie beim Tresorraum, aber es werden die grundlegenden Aspekte der Verwaltung von Geheimnissen abgedeckt.
Nun, derzeit bin ich in der.
Es ist die Manager-Konsole.
Und hier sehen Sie, dass es zwei Geheimnisse gibt, die geschaffen werden.
Die eine heißt Explode App und die zweite ist mit der Datenbank verbunden.
Wenn Sie also die prod-App hier drüben öffnen, sind dies die geheimen Konfigurationen hier und Sie haben einen
geheimen Wert.
Wenn Sie also den geheimen Wert abrufen möchten, können Sie dies über die Benutzeroberfläche tun.
Sie sehen also, dass Sie einen geheimen Benutzer und ein geheimes Kennwort haben oder von der Anwendung.
Außerdem können Sie die geheimen Werte und das geheime Kennwort abrufen, vorausgesetzt, die Anwendung hat den
entsprechenden Zugang zu diesem speziellen Geheimnis.
Auf den ersten Blick ähnelt dies dem, was Sie auch im Tresorraum sehen, wo Sie ein bestimmtes
Geheimnis haben, und wenn Sie den Wert abrufen wollen, können Sie das einfach tun.
Sie müssen prüfen und prüfen, ob Sie die entsprechende Genehmigung haben.
Also gut.
Sie werden also feststellen, dass es hier eine große Ähnlichkeit gibt.
Abgesehen davon ist eine der guten Seiten von Secrets Manager seine Integration mit verschiedenen Diensten,
einschließlich Ideen.
Dieses spezielle Geheimnis, das Sie sehen, ist zum Beispiel mit der RDX-Instanz verbunden.
Wenn ich das also schnell öffne, können Sie sehen, dass es einen Knoten gibt, der besagt, dass dieses Geheimnis von
Amazon-Anzeigen erstellt wurde.
Was beinhaltet dieses Geheimnis nun?
Sie enthält den Benutzernamen und das Passwort für die Verbindung zur Datenbank.
Schauen wir uns das auch schnell an.
Wenn ich also schnell die IDS-Konsole öffne.
Sie werden sehen, dass ich eine Datenbankinstanz habe.
Der Name ist Test Bindestrich-Datenbank.
Um eine Verbindung zu dieser Datenbank herstellen zu können, benötigen wir also Anmeldedaten.
Und diese Anmeldeinformationen werden als Teil des Geheimdienstmanagers Secret gespeichert.
Bei diesem speziellen Geheimnis haben Sie also einen geheimen Wert.
Wenn Sie sich diesen spezifischen Wert ansehen, haben Sie den Benutzernamen admin und dieses spezifische Passwort.
Abgesehen davon möchte ich Ihnen noch einen weiteren Vorteil des Secret Managers aufzeigen,
nämlich die Integration.
Wenn Sie nun generell eine Datenbank erstellen, so ist dies nur ein Beispiel.
Zum besseren Verständnis wählen wir meine SQL-Engine aus.
Wenn Sie eine Datenbank erstellen, müssen Sie normalerweise einen Benutzernamen und ein Passwort festlegen.
Hier können Sie also den Benutzernamen admin festlegen und Ihr eigenes Passwort angeben.
Falls Sie dies jedoch nicht tun wollen, weil der Benutzername und das Kennwort angegeben werden müssen, muss der Administrator
sie aus Gründen der Benutzerfreundlichkeit ebenfalls irgendwo aufschreiben.
Anstatt diesen Weg zu gehen, können Sie also entweder das automatisch generierte Kennwort erneut verwenden, oder Sie müssen
das automatisch generierte Kennwort irgendwo speichern.
In den meisten Fällen werden Sie feststellen, dass die Benutzer das automatisch generierte Kennwort oder sogar das benutzerdefinierte
Kennwort im Notizblock speichern.
Das ist etwas, das Sie nicht wirklich wollen.
Stattdessen können Sie die Master-Anmeldeinformationen im Secrets Manager verwalten.
In solchen Fällen brauchen Sie sich also keine Sorgen um das Passwort zu machen.
Lassen Sie das Passwort auf der Ebene eines Geheimdienstmanagers speichern.
In der Tat, RDR wird sich um das spezifische Geheimnis kümmern und auch das Passwort wird verschlüsselt und nur die entsprechenden
Benutzer und Server werden die Erlaubnis zu diesem spezifischen Geheimnis haben.
Großartig.
Ich hoffe, dass Sie damit den Umgang mit Geheimnissen und den Secret Manager Service
besser verstehen.
Nun, eine der Fragen, die in der Regel kommt, ist, in welchem Szenario werden Sie Welt oder in welchem Szenario würden
Sie Secrets Manager Nun, in solchen Fällen, wenn Sie die Dinge einfach halten wollen, weil, wenn Sie die Wahl Hashicorp Tresor
wieder, Hashicorp Tresor ist nicht ein kleines Werkzeug.
Es gibt viele Funktionen, und wir haben sogar einen eigenen Kurs, der auf dem Hashicorp-Tresor basiert, also ziemlich
detailliert ist.
Wenn Ihr Unternehmen ein sehr kleines Team hat und Sie nicht viel Zeit in das geheime Verwaltungstool und die Konfiguration für Hochverfügbarkeit
usw. investieren möchten, ist das kein Problem. können Sie sofort den Secret Manager verwenden.
In größeren Organisationen, in denen viele Vorschriften einzuhalten sind, verfügen Sie jedoch über eine gute Menge an Ressourcen,
um die allgemeinen Best Practices als Teil des Geheimhaltungsmanagements umzusetzen.
In solchen Fällen ist Hashicorp Vault eines der empfohlenen Tools, die Sie verwenden können.
Bevor wir zum Schluss kommen, habe ich noch ein Diagramm aus den Unterlagen angehängt, damit Sie es bei der Überarbeitung
durch PPD leichter verstehen können.
Sie sehen also, dass Sie einen Geheimhaltungsmanager haben.
Nun werden alle Geheimnisse, die Teil des Geheimdienstmanagers sind, verschlüsselt.
Sie können das CMS für die Gesamtverschlüsselung nutzen und wir haben gesehen, wie es sich in verschiedene Dienste wie
RDA integriert.
Sie können es auch in Ihre Anwendung integrieren usw.
Außerdem können Sie die gesamte Prüfung in Bezug auf den geheimen Verwalter,
der Zugriff hat, usw. durchführen. durch verschiedene Dienste wie Cloud, Rail und Cloud Watch.
Dies ist also ein sehr umfassender Überblick über die Verwaltung von Geheimnissen und den Secrets Manager.
Und damit endet das heutige Video.