Secret management — parol, API token, private key, certificate va encryption key kabi maxfiy qiymatlarni yaratish, saqlash, tarqatish, aylantirish va bekor qilish jarayonidir. Maqsad sirni source code, image, log va tarqoq konfiguratsiyalarda nazoratsiz ko‘paytirish o‘rniga markaziy siyosat va audit bilan boshqarishdir.
Secret lifecycle
Secret kuchli tasodifiy manbadan yaratiladi yoki tashqi provider tomonidan beriladi. U owner, maqsad, scope, expiry va rotation siyosatiga ega. Ishlatilmay qolganda revoke qilinadi va consumerlar yangilanadi. Faqat vaultdan o‘chirish oldin tarqalgan nusxalarni avtomatik yo‘q qilmaydi.
Static secret uzoq muddat amal qiladi. Dynamic secret so‘rov bo‘yicha qisqa muddatga yaratiladi, masalan database user yoki cloud credential. Qisqa TTL o‘g‘irlangan qiymatning foydalanish oynasini kamaytiradi, lekin renewal va outage xatti-harakatini talab qiladi.
Saqlash va shifrlash
Secret store ma’lumotni diskda encryption at rest bilan saqlaydi. Master key alohida KMS, HSM yoki seal mexanizmi bilan himoyalanadi. Agar shifrlash kaliti shu database yonida ochiq saqlansa, disk nusxasini olgan hujumchi ikkalasiga ega bo‘ladi.
Transport TLS bilan himoyalanadi va client server identifikatorini tekshiradi. Xotirada secret baribir applicationga ochiq qiymat sifatida kerak bo‘lishi mumkin. Process dump, debug endpoint va swap himoyasi threat modelga qarab ko‘riladi.
Autentifikatsiya va policy
Application vaultga doimiy umumiy token bilan emas, workload identity, cloud instance identity yoki Kubernetes service account orqali autentifikatsiya qilishi mumkin. Identityga faqat zarur path va operation uchun policy beriladi. Bitta wildcard policy butun tashkilot sirlarini bitta breach radiusga birlashtiradi.
Human access SSO va MFA bilan, emergency access esa break-glass audit bilan boshqariladi. Administrator bo‘lish barcha secret qiymatini o‘qish huquqini avtomatik bermasligi mumkin. Control plane boshqaruvi va data access vazifalari ajratiladi.
Yetkazish usullari
Secret environment variable, vaqtinchalik fayl, sidecar volume yoki bevosita API orqali applicationga beriladi. Environment child process, crash report yoki process inspectionda ko‘rinishi mumkin. Fayl minimal permission va memory-backed filesystemda saqlanishi mumkin.
Agent yoki sidecar lease ni yangilab, yangi secretni atomik yozadi. Application file change yoki signal orqali reload qiladi. Rotation vaqtida eski va yangi credential qisqa overlap qilishi xizmat uzilishini kamaytiradi.
Audit va sizib chiqish
Audit kim qaysi secret pathga qachon va qaysi amal bilan murojaat qilganini yozadi, secret qiymatining o‘zini emas. Anomal ko‘p read, yangi region yoki odatiy bo‘lmagan identity alert beradi. Logning o‘zi tamper-evident va cheklangan bo‘ladi.
Secret source repositoryga tushsa uni commitdan o‘chirish yetarli emas; tarix va clone larda qolishi mumkin. Avval credential revoke yoki rotate qilinadi, keyin tarix tozalanadi. Secret scanning prevention va incident responsega xizmat qiladi.
Inventar va rotatsiya
Secret inventari uning egasi, iste’molchisi, amal muddati va rotation usulini ko‘rsatadi. Noma’lum dependency sabab kalitni almashtirishdan qo‘rqish uzoq yashovchi credentiallarni keltirib chiqaradi. Dual-key davrida consumer yangi va eski kalitni vaqtincha qabul qiladi, producer yangi kalitga o‘tadi, keyin eskisi bekor qilinadi. Rotation muvaffaqiyati faqat yangi qiymat yaratilgani bilan emas, eski qiymat amalda ishlamasligi bilan tekshiriladi. Emergency revoke odatiy rejalashtirilgan rotationdan tezroq va alohida runbookka ega bo‘ladi.
Bog‘liq tushunchalar
Vault, Dynamic secret, KMS, HSM, Rotation, Workload identity, Audit log