Segredos de aplicação para aplicações e pipelines de CI

Os segredos de aplicação permitem que as suas aplicações e pipelines de CI obtenham palavras-passe, tokens de API e valores de configuração do cofre do acesso privilegiado no momento em que precisam deles, em vez de guardarem uma cópia num ficheiro ou nas definições do pipeline. Ninguém guarda uma palavra-passe de longa duração para o próprio pipeline: ele prova quem é com a identidade que a sua plataforma já lhe dá.

Já está disponível?

Ainda não. A ferramenta de linha de comandos e o seu protocolo já fazem parte do produto, mas os ecrãs da consola e a API que entrega os segredos ainda estão em desenvolvimento. Este artigo descreve como vai funcionar.

O que pode ser guardado?

Os segredos ficam no mesmo cofre das credenciais privilegiadas: cada alteração cria uma nova versão, selada com a chave da sua organização, e depois de uma rotação a versão anterior continua a funcionar durante um período de sobreposição (7 dias no desenho atual), para que as aplicações passem para a nova.

Como é que uma aplicação prova quem é?

Regista uma identidade de carga de trabalho:

• GitHub Actions, GitLab ou Kubernetes. O token de identidade assinado pela própria plataforma é aceite quando corresponde a uma regra que define, por exemplo um repositório, um ramo e um ambiente. As regras sobre o ramo são sempre exatas, uma regra do GitHub tem de indicar o proprietário do repositório e uma do GitLab o espaço de nomes, e as execuções de pull requests são recusadas, salvo se as permitir. A consola avisa sobre regras demasiado abrangentes.
• Uma chave registada. Para servidores fora dessas plataformas, a aplicação assina com a sua própria chave Ed25519, ES256 ou ML-DSA-65. As chaves RSA são recusadas.

Depois liga a carga de trabalho aos nomes dos segredos que pode ler, com uma duração máxima de cedência (de 1 minuto a 12 horas; 1 hora por omissão).

O que protege os segredos em trânsito?

• O token de identidade é trocado por um token de acesso de 5 minutos, ligado a uma chave que nunca sai da tarefa.
• Cada segredo é selado para a chave dessa tarefa com cifra híbrida pós-quântica, pelo que um proxy que inspecione o TLS não o consegue ler.
• Cada leitura fica auditada, segredo a segredo.

Boas práticas

• Uma carga de trabalho por pipeline e por ambiente; nunca uma identidade para tudo.
• Prenda os segredos de produção ao ramo e ao ambiente de produção.
• Faça rotações periódicas e, de imediato, se um segredo puder ter sido exposto. Ver Rotação de credenciais.