Algunos servicios específicos de Alibaba Cloud se integran con KMS para recuperar los valores de los secretos por su nombre. Esto permite mantener las credenciales confidenciales bajo una gestión centralizada y sistemática, lo que reduce el riesgo de filtraciones derivadas del manejo manual.
Contexto
Secrets Manager evita las filtraciones de información confidencial causadas por codificar las credenciales directamente en el código. Almacene datos confidenciales (contraseñas de bases de datos, contraseñas de servidores, key pairs de SSH o claves de acceso) como secretos en KMS y luego refiéralos por su nombre en sus aplicaciones. Durante la ejecución, las aplicaciones recuperan dinámicamente los valores de los secretos desde KMS. Este servicio gestiona los secretos durante todo su ciclo de vida y garantiza que solo los usuarios y servicios autorizados puedan acceder a ellos.
Funcionamiento de la integración
Gestione los secretos de forma centralizada en KMS y configure sus nombres en los servicios de Alibaba Cloud. Una vez que otorgue los permisos correspondientes, dichos servicios pueden consultar los metadatos de los secretos y recuperar sus valores desde KMS. Los operadores utilizan los secretos sin ver sus detalles. De esta manera se cumple el principio de accesibilidad invisible y se reduce el riesgo de filtraciones.
Los servicios de Alibaba Cloud recuperan los secretos de KMS en tiempo real. Además, puede auditar el uso de los secretos en ActionTrail.
Servicios compatibles de Alibaba Cloud
|
Nombre del servicio |
Descripción |
Referencias |
|
Container Service for Kubernetes (ACK) |
Instale el complemento ack-secret-manager en ACK y configure los nombres de los secretos. El complemento lee periódicamente los valores más recientes de los secretos desde KMS y los almacena en caché dentro del clúster de Kubernetes como Secrets nativos de Kubernetes. Esto evita que los datos confidenciales se transmitan o se filtren durante el desarrollo y la construcción de aplicaciones. |
|
|
Bastionhost |
Almacene la contraseña de la cuenta o la key pair de SSH de una instancia ECS como un secreto de ECS en KMS y, después, importe dicho secreto en Bastionhost. Cuando Bastionhost se conecta a la instancia, recupera el valor del secreto de ECS desde KMS, por lo que no es obligatorio ingresar la contraseña ni la clave de forma manual. Para cumplir con los requisitos de seguridad y conformidad, rote los secretos de ECS de inmediato o configure su rotación automática en KMS. |
|
|
Data Management (DMS) |
Almacene las contraseñas de las cuentas de ApsaraDB RDS como secretos de ApsaraDB RDS en KMS y, a continuación, configúrelos e impórtelos en DMS. Cuando DMS se conecta a una base de datos de ApsaraDB RDS, recupera automáticamente el secreto asociado desde KMS, sin necesidad de ingresar la contraseña manualmente. Para cumplir con los requisitos de seguridad y conformidad, configure la rotación inmediata o automática de los secretos de ApsaraDB RDS en KMS. |