Serviços específicos da Alibaba Cloud se integram ao KMS para recuperar valores de segredos por nome, mantendo credenciais confidenciais sob gerenciamento centralizado e sistemático, o que reduz o risco de vazamentos por manipulação manual.
Contexto
O Secrets Manager evita vazamentos de informações confidenciais causados pela inserção direta de credenciais no código. Armazene dados confidenciais — como senhas de banco de dados, senhas de servidores, pares de chaves SSH ou chaves de acesso — como segredos no KMS e faça referência a eles por nome em suas aplicações. Durante a execução, as aplicações recuperam dinamicamente os valores dos segredos do KMS. O KMS gerencia os segredos durante todo o ciclo de vida e garante que apenas usuários e serviços autorizados possam acessá-los.
Como a integração funciona
Gerencie os segredos de forma centralizada no KMS e configure os nomes dos segredos nos serviços da Alibaba Cloud. Após conceder as permissões relevantes, os serviços poderão visualizar os metadados dos segredos e recuperar seus valores no KMS. Os operadores utilizam os segredos sem ver os detalhes, atendendo ao princípio de acessível, mas invisível, e reduzindo o risco de vazamentos.
Os serviços da Alibaba Cloud recuperam os segredos do KMS em tempo real. É possível auditar o uso dos segredos no ActionTrail.
Serviços da Alibaba Cloud compatíveis
|
Nome do serviço |
Descrição |
Referências |
|
Container Service for Kubernetes (ACK) |
Instale o plug-in ack-secret-manager no ACK e configure os nomes dos segredos. O plug-in lê periodicamente os valores mais recentes dos segredos do KMS e os armazena em cache no cluster Kubernetes como Secrets nativos do Kubernetes. Isso evita a transmissão ou o vazamento de dados confidenciais durante o desenvolvimento e a construção da aplicação. |
|
|
Bastionhost |
Armazene a senha da conta ou o par de chaves SSH de uma instância ECS como um segredo do ECS no KMS e, em seguida, importe o segredo no Bastionhost. Quando o Bastionhost se conecta à instância, ele recupera o valor do segredo do ECS diretamente do KMS, sem necessidade de inserir senhas ou chaves manualmente. Execute a rotação imediata ou configure a rotação automática para os segredos do ECS no KMS para atender aos requisitos de segurança e conformidade. |
|
|
Data Management (DMS) |
Armazene as senhas das contas do ApsaraDB RDS como segredos do ApsaraDB RDS no KMS e, em seguida, configure e importe os segredos no DMS. Quando o DMS se conecta a um banco de dados ApsaraDB RDS, ele recupera automaticamente o segredo associado do KMS, sem necessidade de inserir a senha manualmente. Configure a rotação imediata ou automática para os segredos do ApsaraDB RDS no KMS para atender aos requisitos de segurança e conformidade. |