Certains services Alibaba Cloud s'intègrent à KMS pour récupérer les valeurs de secret par leur nom. Cette approche centralise la gestion des identifiants sensibles et réduit les risques de fuite liés à une manipulation manuelle.
Contexte
Secrets Manager empêche la divulgation d'informations sensibles due au codage en dur des identifiants dans le code source. Stockez vos données sensibles (mots de passe de base de données, mots de passe serveur, paires de clés SSH ou clés d'accès) sous forme de secrets dans KMS, puis référencez-les par leur nom dans vos applications. Au moment de l'exécution, les applications récupèrent dynamiquement les valeurs des secrets depuis KMS. KMS gère les secrets tout au long de leur cycle de vie et garantit que seuls les utilisateurs et services autorisés peuvent y accéder.
Fonctionnement de l'intégration
Gérez les secrets de manière centralisée dans KMS et configurez leurs noms dans les services Alibaba Cloud. Après avoir accordé les autorisations nécessaires, ces services consultent les métadonnées des secrets et récupèrent leurs valeurs depuis KMS. Les opérateurs utilisent les secrets sans voir leurs détails, respectant ainsi le principe d'accessibilité sans visibilité et réduisant les risques de fuite.
Les services Alibaba Cloud récupèrent les secrets depuis KMS en temps réel. Auditez l'utilisation des secrets via ActionTrail.
Services Alibaba Cloud pris en charge
|
Nom du service |
Description |
Références |
|
Container Service for Kubernetes (ACK) |
Installez le plug-in ack-secret-manager dans ACK et configurez les noms des secrets. Le plug-in lit périodiquement les dernières valeurs des secrets depuis KMS et les met en cache dans le cluster Kubernetes sous forme de Secrets Kubernetes natifs. Cela évite la transmission ou la fuite de données sensibles lors du développement et de la construction des applications. |
|
|
Bastionhost |
Stockez le mot de passe du compte ou la paire de clés SSH d'une instance ECS en tant que secret ECS dans KMS, puis importez ce secret dans Bastionhost. Lorsque Bastionhost se connecte à l'instance, il récupère la valeur du secret ECS depuis KMS, sans saisie manuelle du mot de passe ou de la clé. Effectuez une rotation immédiate ou configurez une rotation automatique des secrets ECS dans KMS pour répondre aux exigences de sécurité et de conformité. |
|
|
Data Management (DMS) |
Stockez les mots de passe des comptes ApsaraDB RDS en tant que secrets ApsaraDB RDS dans KMS, puis configurez et importez ces secrets dans DMS. Lorsque DMS se connecte à une base de données ApsaraDB RDS, il récupère automatiquement le secret associé depuis KMS, sans saisie manuelle du mot de passe. Configurez une rotation immédiate ou automatique des secrets ApsaraDB RDS dans KMS pour répondre aux exigences de sécurité et de conformité. |