Ciao a tutti e bentornati.
Nel video di oggi parleremo di otto segreti manager.
Ora, prima di comprendere questo servizio nei minimi dettagli, è importante che ci occupiamo
delle basi delle sfide che l'organizzazione deve affrontare e dei fondamenti della gestione dei segreti.
Ora, uno dei problemi comuni relativi alla sicurezza che si riscontra in molte organizzazioni
è che i segreti sono codificati direttamente come parte dell'applicazione o del server.
Ad esempio, si ha un'istanza easy to che vuole comunicare con il database e c'è una sorta di applicazione
in esecuzione sull'AC due; ora, affinché questa EC due possa connettersi al database, saranno
necessarie le credenziali, il nome utente del database, la password del database e così via.
Tutte queste credenziali sono generalmente codificate come parte dell'applicazione
o configurate come parte dell'istanza EC2.
Quindi, in questo caso, se il server viene compromesso, anche queste credenziali trapelano e, nel caso in cui queste credenziali
siano codificate in modo rigido come parte dell'applicazione, chiunque abbia accesso al repository centrale in
cui è memorizzato il codice dell'applicazione, sarà in grado di accedere a queste credenziali.
Un'altra sfida che si presenta è che se si desidera ruotare le credenziali segrete, anche tutti
i server in cui è installata l'applicazione devono essere aggiornati con l'ultimo set di credenziali.
Se manca uno dei server, la produzione può andare in tilt.
Ad esempio, supponiamo di avere alcune credenziali che vengono aggiunte come parte del codice dell'applicazione
in un'istanza facile da gestire e che alcuni membri del team dell'applicazione stiano lasciando l'organizzazione.
Quindi cosa vuoi?
Idealmente, si desidera ruotare tutte le credenziali in modo che, una volta che il membro del team lascia l'organizzazione,
non sia in grado di utilizzare o condividere queste credenziali.
In questi casi, quindi, è necessario aggiornare l'applicazione e distribuire il nuovo codice dell'applicazione o modificare
il file delle credenziali memorizzato come parte del server.
Per superare questa serie di sfide e molte altre, è stata introdotta un'area di gestione
dei segreti.
In sintesi, la gestione dei segreti è una pratica che consente agli sviluppatori di memorizzare in modo sicuro
i dati sensibili, come le chiavi di accesso e i token, in un ambiente protetto con un rigoroso controllo degli accessi.
In questo tipo di architettura, invece di codificare le credenziali come parte dell'applicazione,
le credenziali vengono memorizzate in uno strumento dedicato.
In questo caso si tratta del caveau di Hashicorp e ogni volta che l'applicazione vuole connettersi al database, può
connettersi allo strumento di gestione dei segreti, recuperare le credenziali più recenti e, attraverso queste
credenziali, connettersi al database.
Nell'ambito della gestione dei segreti, esistono diversi strumenti popolari disponibili nel settore.
Uno dei più diffusi tra le organizzazioni è Hashicorp Vault.
Oltre a ciò, anche un gestore di segreti è uno degli strumenti che è possibile utilizzare come parte della gestione
dei segreti.
In modo simile all'architettura precedente, con una panoramica di alto livello all'interno del caveau di Hashicorp che
abbiamo visto nella diapositiva precedente, abbiamo qui il gestore dei segreti e l'istanza easy to può recuperare le credenziali
dal gestore dei segreti e quindi utilizzare tali credenziali per connettersi all'endpoint appropriato.
Uno dei punti di forza di Secrets Manager è che supporta diversi aspetti, tra cui la memorizzazione
delle credenziali, la rotazione delle credenziali e altri eventi del ciclo di vita.
Questa è la base Con questo, andiamo avanti per capire le cose in modo più dettagliato.
Ora.
In primo luogo, come stiamo discutendo, ci sono diversi strumenti popolari relativi alla gestione dei segreti che
sono disponibili nel settore.
Uno di quelli molto popolari che si vedono nelle imprese e nelle organizzazioni su larga scala è Hashicorp
Vault.
Il caveau di Hashicorp, ancora una volta, è ricco di funzioni e consente di memorizzare e gestire i segreti
in modo basilare.
Ora, infatti, permettetemi di mostrarvi rapidamente anche questo.
Questa è la console di Hashicorp Vault e al suo interno è possibile creare un segreto per aggiungere
una chiave e il valore appropriato.
Quindi, se dico test e test e parte del segreto, lo dirò semplicemente, farò clic su Salva e questo è il segreto
che viene creato.
Inoltre, è possibile creare più versioni di segreti.
È possibile ruotare i segreti e così via.
L'idea è che tutti i segreti siano archiviati in un luogo centrale, in questo caso il Vault di Hashicorp, e che qualsiasi
applicazione o sviluppatore, quando ha bisogno di credenziali, possa recuperarle dal Vault di Hashicorp.
Ora, uno degli aspetti positivi della soluzione Hashicorp Vault è che supporta un'ampia gamma
di motori.
Quindi la vostra Active Directory è Azure GCP, avete SSH qui, avete database e vari altri ora simili al Vault
di Hashicorp hanno anche un gestore di segreti.
Anche in questo caso, non è ricco di funzioni come il vault, ma svolge gli aspetti fondamentali della gestione dei segreti.
Attualmente mi trovo nel.
È la console del manager.
E qui vedete che vengono creati due segreti.
Una si chiama Explode App e la seconda è legata al database.
Quindi, se aprite l'applicazione prod qui, queste sono le configurazioni segrete e avete un
valore segreto.
Pertanto, se si desidera recuperare il valore segreto, è possibile farlo dall'interfaccia utente.
Quindi si vede che si dispone di un utente e di una password segreti o dell'applicazione.
Inoltre sarà possibile recuperare i valori segreti e la password segreta, considerando che l'applicazione
ha l'accesso appropriato o questo specifico segreto.
Ora, a livello generale, questo è molto simile a quello che si vede anche nel caveau, dove si ha
un segreto specifico e se si vuole recuperare il valore, lo si può fare facilmente.
Avete testato e testato considerando che avete l'autorizzazione appropriata.
Va bene.
Per questo motivo, si può notare una buona dose di somiglianza.
A parte questo, uno degli aspetti positivi di Secrets manager è la sua integrazione con vari servizi,
tra cui ideas.
Ad esempio, questo segreto specifico che vedete è associato all'istanza RDX.
Quindi, se lo apro rapidamente, si può vedere che c'è un nodo che afferma che questo segreto è
stato creato da Amazon ads.
Cosa contiene questo segreto?
Contiene il nome utente e la password per connettersi al database.
Ora analizziamo rapidamente anche questo aspetto.
Quindi se apro rapidamente la console IDS.
Vedrete che ho un'istanza di database.
Il nome è database Test hyphen.
Quindi, per connettersi a questo database, abbiamo bisogno di credenziali.
Queste credenziali vengono memorizzate come parte del gestore di segreti Secret.
Quindi, in questo specifico segreto, avete un valore segreto.
Se si esamina questo valore specifico, si ha un nome utente di admin e una password specifica.
Ora, a parte questo, un'altra cosa che volevo mostrarvi mentre parliamo di Secret Manager,
i vantaggi di questa integrazione.
Ora, se in genere si crea un database, anche in questo caso si tratta solo di una dimostrazione.
Per una migliore comprensione, selezioniamo il mio motore SQL.
In genere, quando si crea un database, si devono definire il nome utente e la password.
Qui si può definire il nome utente admin e si può fornire la propria password.
Tuttavia, nel caso in cui non si voglia farlo, perché per fornire nome utente e password, l'amministratore
deve anche scriverli da qualche parte per facilitare l'uso.
Quindi, invece di seguire questa strada, si può usare di nuovo la password generata automaticamente,
che dovrà essere memorizzata da qualche parte.
La maggior parte delle volte si nota che gli utenti memorizzano la password generata automaticamente o anche la password generata
in modo personalizzato nel blocco note.
Questo è qualcosa che non si vuole veramente.
Quindi, al posto di questo, è possibile selezionare la gestione delle credenziali master in Secrets Manager.
In questi casi, quindi, non è necessario preoccuparsi della password.
Lasciare che la password sia memorizzata a livello di manager segreto.
Infatti, RDR si occuperà del segreto specifico e anche la password sarà criptata e solo gli utenti e i
server appropriati avranno il permesso di accedere a questo segreto specifico.
Ottimo.
Spero che con questo abbiate capito meglio i termini della gestione dei segreti e del Secret
Manager Service.
Ora, una delle domande che generalmente ci si pone è in quale scenario si utilizzerà World o in quale scenario
si utilizzerà Secrets Manager Ora, in questi casi, se si vuole mantenere le cose semplici, perché se si sceglie di nuovo
Hashicorp vault, Hashicorp vault non è uno strumento piccolo.
Ci sono molte funzioni e infatti abbiamo un corso dedicato basato sul caveau di Hashicorp, quindi è abbastanza
dettagliato.
Ora, se la vostra organizzazione ha un team molto piccolo e non volete dedicare molto tempo allo strumento di gestione dei segreti e
alla sua configurazione per l'alta disponibilità, ecc. subito, è possibile utilizzare Secret
manager.
Tuttavia, nelle organizzazioni più grandi, dove ci sono molti adempimenti, si dispone di una buona quantità di risorse
per implementare le best practice generali come parte della gestione dei segreti.
In questi casi, Hashicorp Vault è uno degli strumenti consigliati da utilizzare.
Ora, prima di concludere, ho allegato anche un diagramma tratto dai documenti, in modo che, durante la revisione
tramite PPD, sia più facile da capire.
Ora, se vedete, avete un gestore di segreti.
Ora, tutti i segreti che fanno parte del gestore dei segreti sono crittografati.
È possibile utilizzare il CMS per la crittografia complessiva e abbiamo visto come si integra con vari servizi
come RDA.
È inoltre possibile integrarlo con la propria applicazione e così via.
Inoltre, sarà possibile eseguire l'audit generale relativo
al manager segreto che accede, ecc. attraverso vari servizi come cloud, rail e Cloud watch.
Questa è una panoramica di alto livello sulla gestione dei segreti e su Secrets Manager.
E con questo si conclude il video di oggi.