Secret manager — parol, API token, ma’lumotlar bazasi credentiali, shifrlash kaliti va sertifikat kabi maxfiy qiymatlarni markaziy saqlash, ularga nazoratli kirish berish hamda hayot siklini boshqaruvchi tizim. U secretlarni source code, konfiguratsiya repositorysi yoki umumiy environment fayllarida tarqatish o‘rniga, ish vaqtida autentifikatsiyalangan workloadga yetkazadi. Secret managerning o‘zi barcha muammoni hal qilmaydi; identity, access policy va audit uning asosiy qismlaridir.
Saqlash modeli
Secretlar odatda storage encryption bilan himoyalanadi. Master key HSM yoki key management service’da saqlanishi, secret data encryption key bilan shifrlanib envelope encryption orqali o‘ralishi mumkin. Storage faylini o‘g‘irlagan tomon master key va siyosatsiz plaintextni ololmasligi ko‘zlanadi. Ishlayotgan server baribir kerakli secretni ma’lum vaqtda ochadi, shu sababli runtime compromise alohida tahdiddir.
Har secret nom, versiya, yaratilgan vaqt, owner va rotation metadata’siga ega. Yangi versiya chiqarilganda eski versiya grace period davomida o‘qilishi mumkin. Version alias, masalan current, dasturga aniq IDni bilmasdan yangisini olishga imkon beradi, lekin rollback va audit uchun real versiya qayd qilinadi.
Workload identity
Dastur secret managerga kirish uchun yana bir uzoq muddatli parol saqlasa, muammo boshqa joyga ko‘chadi. Bulut instance roli, Kubernetes service account, mTLS sertifikati yoki OIDC workload identity orqali qisqa muddatli autentifikatsiya olinadi. Secret manager identity va resursga asoslangan siyosatni tekshiradi.
Least privilege bo‘yicha billing xizmati faqat o‘z database credentialini, deployment pipeline esa faqat release uchun zarur signing operatsiyasini oladi. Secretlarni prefiks bo‘yicha juda keng read:* ruxsati bilan tarqatish bitta servis buzilishining ta’sirini oshiradi. Production va test muhitlari alohida namespace hamda keylardan foydalanadi.
Dynamic secret
Dynamic secret oldindan saqlangan umumiy parolni qaytarish o‘rniga talab paytida yangi credential yaratadi. Masalan, secret manager ma’lumotlar bazasida qisqa muddatli user va parol ochib, lease tugaganda uni o‘chiradi. Bu credential almashishni, kim foydalanganini va compromise oynasini boshqarishni osonlashtiradi.
Lease’ni yangilash jarayoni uzilishlarga chidamli bo‘lishi kerak. Dastur faqat boshlanishda credential olib, muddati tugashini unutmasligi kerak. Agent yoki sidecar secretni yangilashi mumkin, ammo dastur connection poolni qayta ochishi yoki yangi sertifikatni reload qilishi zarur.
Rotation va revocation
Rotation yangi qiymat yaratish, iste’molchilarni o‘tkazish va eskisini bekor qilishdan iborat. Database parolini darhol almashtirish barcha nusxalar bir vaqtda yangilanmasa outage keltiradi. Ikki credentialli o‘tish, versiya bosqichi yoki dynamic secret bu muammoni kamaytiradi. Rotation muvaffaqiyatli bo‘lgani faqat secret managerdagi versiya emas, real xizmat ulanishi bilan tekshiriladi.
Secret source code tarixiga tushsa, fayldan o‘chirish yetarli emas. Qiymat darhol bekor qilinadi, access log tekshiriladi va repository tarixi zarur bo‘lsa qayta yoziladi. Secret scanning tasodifiy commitni aniqlaydi, ammo barcha maxsus formatlarni topish kafolatiga ega emas.
Yetkazish va audit
Secret environment variable, vaqtinchalik fayl, memory API yoki lokal agent orqali berilishi mumkin. Environment qiymati process listing, core dump yoki diagnostikaga tushishi mumkin; fayl permission va cleanup talab qiladi. Ilova secretni logga, exceptionga yoki tracing atributiga yozmaydi. Template orqali konfiguratsiya yaratilsa, chiqish fayli ham secret darajasida himoyalanadi.
Audit kim, qachon, qaysi secret versiyasini o‘qiganini qayd etadi, ammo qiymatning o‘zini saqlamaydi. G‘ayrioddiy ko‘p o‘qish, yangi regiondan access yoki service identityning odatda ishlatmaydigan secretga murojaati signal bo‘ladi. Break-glass administrator kirishi vaqtinchalik, ko‘p tomonli tasdiq va alohida audit bilan boshqariladi.
Bog‘liq tushunchalar
Secret, Key management, Workload identity, Dynamic credential, Rotation, HSM, Least privilege