Automatische Rotation von geheimen Schlüsseln

Sie können die automatische Rotation für geheime Schlüssel mit IBM Cloud® Secrets Manager planen.

Wenn Sie einen geheimen Schlüssel in Ihrer Serviceinstanz turnusmäßig wechseln, erstellen Sie eine neue Version des Werts. Durch die Planung der automatischen Rotation Ihrer geheimen Schlüssel in regelmäßigen Intervallen können Sie die Wahrscheinlichkeit einer Beeinträchtigung verringern und sicherstellen, dass Ihre Berechtigungsnachweise nie ablaufen.

Die automatische Rotation ist nur für geheime Schlüssel verfügbar, die von Secrets Manager generiert werden. Wenn der geheime Schlüssel ursprünglich importiert wurde, müssen Sie neue Daten für den geheimen Schlüssel angeben, um ihn zu turnusmäßig zu wechseln. Weitere Informationen finden Sie unter Geheime Schlüssel manuell rotieren.

Vorbereitende Schritte

Bevor Sie beginnen, müssen Sie prüfen, ob Sie über die erforderliche Zugriffsebene verfügen. Um geheime Schlüssel turnusmäßig zu wechseln, benötigen Sie die Servicerolle Schreibberechtigter oder höher.

Unterstützte Typen geheimer Schlüssel

Die automatische Rotation wird für private Zertifikate, öffentliche Zertifikate, Benutzerberechtigungsnachweise und IAM-Berechtigungsnachweise unterstützt. Je nach Art des Geheimnisses erfolgt die automatische Rotation sofort an dem von Ihnen festgelegten Datum und zu der von Ihnen festgelegten Uhrzeit, oder es müssen einige zusätzliche Schritte durchgeführt werden, bevor eine neue Version des Geheimnisses erstellt werden kann.

Beschreibt, wie Secrets Manager die manuelle Drehung nach Art des Geheimnisses bewertet
Typ	Beschreibung der Rotation
Private Zertifikate	Der vorhandene Wert `certificate` wird durch neuen Zertifikatsinhalt ersetzt. Die Lebensdauer (TTL, Time-to-Live) des verlängerten Zertifikats wird gemäß der Zertifikatsvorlage festgelegt, die bei der Erstellung des Zertifikats ausgewählt wurde. Beachten Sie, dass das Zertifikat nicht mehr automatisch rotiert werden kann, wenn die Time-to-Live (TTL) oder die Gültigkeitsdauer eines privaten Zertifikats die Gültigkeitsdauer der ausstellenden Zertifizierungsstelle überschreitet.
Öffentliche Zertifikate	Öffentliche Zertifikate werden in den Status Aktiv, Rotation anstehend versetzt, um anzuzeigen, dass die Anforderung zum Verlängern des Zertifikats verarbeitet wird. Secrets Manager verwendet die DNS-Validierung, um sicherzustellen, dass Sie Eigner der Domänen sind, die als Teil des Zertifikats aufgelistet sind. Dieser Vorgang kann einige Minuten in Anspruch nehmen. Wenn die Validierung erfolgreich abgeschlossen wird, wird ein neues Zertifikat ausgestellt und der Status ändert sich zurück in Aktiv. Wenn die Validierung nicht erfolgreich abgeschlossen werden kann, ändert sich der Status des Zertifikats in Aktiv, Rotation fehlgeschlagen.
Benutzerberechtigungsnachweise	Der vorhandene Wert `password` wird durch ein zufällig generiertes 32-stelliges Kennwort ersetzt, das Großbuchstaben, Kleinbuchstaben, Ziffern und Symbole enthält. Der Wert `username` ändert sich nicht.
IAM-Berechtigungsnachweise	Der API-Schlüsselwert der Service-ID wird durch einen neuen API-Schlüssel ersetzt. Der vorherige API-Schlüssel bleibt für die verbleibende Zeit in der definierten Lebensdauer verfügbar.
Serviceberechtigungsnachweise	Das Geheimnis der Dienstanmeldeinformationen wird durch ein neues ersetzt. Das vorherige Geheimnis bleibt für die verbleibende Zeit der festgelegten TTL verfügbar.
Benutzerdefinierte Berechtigungsnachweise	Das benutzerdefinierte Berechtigungsgeheimnis wird durch ein neues ersetzt. Das vorherige Geheimnis bleibt für die verbleibende Zeit der festgelegten TTL verfügbar.

Beachten Sie, dass bei Serviceberechtigungsnachweisen, die für Datenbanken erstellt wurden, diese nicht synchronisiert werden, sobald der Serviceberechtigungsnachweis turnusmäßig gewechselt wurde, wenn Sie neben dem Berechtigungsnachweis auch die Datenbankberechtigungen für den erstellten Berechtigungsnachweis ändern. Beim Rotieren eines Datenbankserviceberechtigungsnachweises wird dies als Identitätsrotation betrachtet.

Automatische Rotation in der Benutzerschnittstelle planen

Sie können die automatische Rotation geheimer Schlüssel über die Secrets Manager-Benutzerschnittstelle planen.

Automatische Rotationsrichtlinie für Benutzerberechtigungsnachweise festlegen

Wenn Sie es vorziehen, die automatische Rotation Ihrer Kennwörter in regelmäßigen Intervallen zu planen, können Sie die automatische Rotation für Ihre Benutzerberechtigungsnachweise bei ihrer Erstellung aktivieren. Sie können die automatische Rotation auch aktivieren, indem Sie die Details eines vorhandenen geheimen Schlüssels bearbeiten.

Wenn Sie mehr Kontrolle über die Rotationsfrequenz eines geheimen Schlüssels benötigen, können Sie die Secrets Manager-API verwenden, um ein angepasstes Intervall mithilfe von day- oder month-Zeiteinheiten festzulegen. Weitere Informationen finden Sie in der API-Referenz.

Wenn Sie einen geheimen Schlüssel hinzufügen, aktivieren Sie die Rotationsoption.
Wenn Sie einen vorhandenen geheimen Schlüssel bearbeiten, aktivieren Sie die automatische Rotation, indem Sie die zugehörigen Details aktualisieren.
1. Zeigen Sie in der Tabelle Geheime Schlüssel eine Liste Ihrer vorhandenen geheimen Schlüssel an.
2. Klicken Sie in der Zeile für den geheimen Schlüssel, den Sie bearbeiten möchten, auf das Aktionen Menü > Details bearbeiten.
3. Verwenden Sie die Option Automatischer turnusmäßiger Wechsel, um den automatischen turnusmäßigen Wechsel für den geheimen Schlüssel zu aktivieren oder zu inaktivieren.

Wenn Sie die Rotationseinstellungen eines geheimen Schlüssels aktualisieren, lösen Sie eine sofortige Rotation aus.

Automatische Rotationsrichtlinie für öffentliche Zertifikate festlegen

Wenn Sie die automatische Verlängerung Ihrer öffentlichen SSL/TLS-Zertifikate planen möchten, können Sie die automatische Rotation für Zertifikate aktivieren, wenn Sie sie bestellen. Sie können die automatische Rotation auch aktivieren, indem Sie die Details eines vorhandenen Zertifikats bearbeiten. Im nächsten Rotationszyklus des Zertifikats versucht Secrets Manager, das Zertifikat 31 Tage vor seinem Verfallsdatum neu zu bestellen. Der Service versucht weiterhin, das Zertifikat täglich zu verlängern, bis es erfolgreich ist.

Wenn Sie Öffentliches Zertifikat bestellen sind, aktivieren Sie die Rotationsoptionen.
1. Um den automatischen turnusmäßigen Wechsel für das Zertifikat zu aktivieren, wählen Sie auf der entsprechenden Umschaltfläche die Einstellung Ein. Ihr Zertifikat wird automatisch 31 Tage vor seinem Ablaufdatum neu bestellt.
2. Wenn Sie bei jedem turnusmäßigen Wechsel einen neuen privaten Schlüssel für das Zertifikat anfordern möchten, wählen Sie auf der entsprechenden Umschaltfläche die Einstellung Ein.
Wenn Sie ein vorhandenes öffentliches Zertifikat bearbeiten, planen Sie die automatische Rotation, indem Sie die zugehörigen Details aktualisieren.
1. Zeigen Sie in der Tabelle Geheime Schlüssel eine Liste Ihrer vorhandenen öffentlichen Zertifikate an.
2. Klicken Sie in der Zeile für das Zertifikat, das bearbeitet werden soll, auf das Aktionen Menü > Details bearbeiten.
3. Verwenden Sie die Option Automatischer turnusmäßiger Wechsel, um eine Richtlinie für den turnusmäßigen Wechsel des geheimen Schlüssels hinzuzufügen oder zu entfernen.

Automatische Rotationsrichtlinie für private Zertifikate festlegen

Wenn Sie die automatische Verlängerung Ihrer privaten SSL-oder TLS-Zertifikate planen möchten, können Sie die automatische Rotation für Zertifikate aktivieren, wenn Sie sie erstellen, oder indem Sie die Details eines vorhandenen Zertifikats bearbeiten. Das Zertifikat muss

Wenn Sie private Zertifikate erstellen, aktivieren Sie die Rotationsoptionen.
1. Um den automatischen turnusmäßigen Wechsel für das Zertifikat zu aktivieren, wählen Sie auf der entsprechenden Umschaltfläche die Einstellung Ein.
2. Wählen Sie ein Intervall und eine Einheit aus, die die Anzahl der Tage zwischen geplanten Rotationen angeben.
  
  Abhängig von der Zertifikatsvorlage, die Ihrem privaten Zertifikat zugeordnet ist, gelten möglicherweise einige Einschränkungen für das Rotationsintervall für das Zertifikat. Das Rotationsintervall darf beispielsweise die Lebensdauer (TTL, Time-to-Live), die in der Vorlage definiert ist, nicht überschreiten. Weitere Informationen finden Sie unter Zertifikatsvorlagen.
Wenn Sie ein vorhandenes privates Zertifikat bearbeiten, planen Sie die automatische Rotation, indem Sie seine Details aktualisieren.
1. Zeigen Sie in der Tabelle Geheime Schlüssel eine Liste Ihrer vorhandenen privaten Zertifikate an.
2. Klicken Sie in der Zeile für das Zertifikat, das bearbeitet werden soll, auf das Aktionen Menü > Details bearbeiten.
3. Verwenden Sie die Option Automatischer turnusmäßiger Wechsel, um eine Richtlinie für den turnusmäßigen Wechsel des geheimen Schlüssels hinzuzufügen oder zu entfernen.

Einrichten einer automatischen Rotationsrichtlinie für IAM-Anmeldeinformationen

Wenn Sie die automatische Rotation Ihres API-Schlüssels in regelmäßigen Intervallen planen möchten, können Sie die automatische Rotation für Ihre IAM-Berechtigungsnachweise bei ihrer Erstellung aktivieren. Sie können die automatische Rotation auch aktivieren, indem Sie die Details eines vorhandenen geheimen Schlüssels bearbeiten. Wählen Sie ein Rotationsintervall von 30, 60 oder 90 Tagen.

Wenn Sie einen geheimen Schlüssel hinzufügen, aktivieren Sie die Option für den turnusmäßigen Wechsel, indem Sie ein 30-, 60- oder 90-Tage-Intervall auswählen.
Wenn Sie einen vorhandenen geheimen Schlüssel bearbeiten, aktivieren Sie die automatische Rotation, indem Sie die zugehörigen Details aktualisieren.
1. Zeigen Sie in der Tabelle Geheime Schlüssel eine Liste Ihrer vorhandenen geheimen Schlüssel an.
2. Klicken Sie in der Zeile für den geheimen Schlüssel, den Sie bearbeiten möchten, auf das Aktionen Menü > Details bearbeiten.
3. Verwenden Sie die Option Automatischer turnusmäßiger Wechsel, um den automatischen turnusmäßigen Wechsel für den geheimen Schlüssel zu aktivieren oder zu inaktivieren.

Die Rotation ist nur für IAM-Berechtigungsnachweise verfügbar, wenn der Wiederverwendungsschlüssel auf true gesetzt ist. Das definierte Rotationsintervall darf nicht größer als die definierte Lebensdauer (TTL) sein. Sie können die Lebensdauer für geheime Schlüssel festlegen, indem Sie minute-Zeiteinheiten verwenden. Für diese geheimen Schlüssel ist die Rotation jedoch nicht verfügbar.

Einrichten einer automatischen Rotationsrichtlinie für Dienstanmeldeinformationen

Wenn Sie es vorziehen, das Geheimnis Ihrer Dienstnachweise in regelmäßigen Abständen automatisch rotieren zu lassen, können Sie die automatische Rotation für Ihre Dienstnachweise bei deren Erstellung aktivieren. Sie können die automatische Rotation auch aktivieren, indem Sie die Details eines vorhandenen geheimen Schlüssels bearbeiten. Wählen Sie ein Rotationsintervall von 30, 60 oder 90 Tagen.

Wenn Sie einen geheimen Schlüssel hinzufügen, aktivieren Sie die Option für den turnusmäßigen Wechsel, indem Sie ein 30-, 60- oder 90-Tage-Intervall auswählen.
Wenn Sie einen vorhandenen geheimen Schlüssel bearbeiten, aktivieren Sie die automatische Rotation, indem Sie die zugehörigen Details aktualisieren.
1. Zeigen Sie in der Tabelle Geheime Schlüssel eine Liste Ihrer vorhandenen geheimen Schlüssel an.
2. Klicken Sie in der Zeile für den geheimen Schlüssel, den Sie bearbeiten möchten, auf das Aktionen Menü > Details bearbeiten.
3. Verwenden Sie die Option Automatischer turnusmäßiger Wechsel, um den automatischen turnusmäßigen Wechsel für den geheimen Schlüssel zu aktivieren oder zu inaktivieren.

Einrichten einer automatischen Rotationsrichtlinie für benutzerdefinierte Anmeldeinformationen

Wenn Sie es vorziehen, dass Ihre benutzerdefinierten Zugangsdaten in regelmäßigen Abständen automatisch rotiert werden, können Sie die automatische Rotation für Ihre benutzerdefinierten Zugangsdaten bei deren Erstellung aktivieren. Sie können die automatische Rotation auch aktivieren, indem Sie die Details eines vorhandenen geheimen Schlüssels bearbeiten. Wählen Sie ein Rotationsintervall von 30, 60 oder 90 Tagen.

Wenn Sie einen geheimen Schlüssel hinzufügen, aktivieren Sie die Option für den turnusmäßigen Wechsel, indem Sie ein 30-, 60- oder 90-Tage-Intervall auswählen.
Wenn Sie einen vorhandenen geheimen Schlüssel bearbeiten, aktivieren Sie die automatische Rotation, indem Sie die zugehörigen Details aktualisieren.
1. Zeigen Sie in der Tabelle Geheime Schlüssel eine Liste Ihrer vorhandenen geheimen Schlüssel an.
2. Klicken Sie in der Zeile für den geheimen Schlüssel, den Sie bearbeiten möchten, auf das Aktionen Menü > Details bearbeiten.
3. Verwenden Sie die Option Automatischer turnusmäßiger Wechsel, um den automatischen turnusmäßigen Wechsel für den geheimen Schlüssel zu aktivieren oder zu inaktivieren.

Automatische Rotation über die Befehlszeilenschnittstelle planen

Sie können die automatische Rotation von Geheimnissen mit dem Secrets Manager CLI-Plug-in planen.

Automatische Rotationsrichtlinie für Benutzerberechtigungsnachweise festlegen

Planen Sie die automatische Rotation für Benutzerberechtigungsnachweise mithilfe von ibmcloud secrets-manager secret-metadata-update.

ibmcloud secrets-manager secret-metadata-update \
    --id=SECRET_ID \
    --rotation='{"auto_rotate": true,"interval": 30,"unit": "day"}'

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Automatische Rotationsrichtlinie für öffentliche Zertifikate festlegen

Planen Sie die automatische Rotation für öffentliche Zertifikate mithilfe von ibmcloud secrets-manager secret-metadata-update.

ibmcloud secrets-manager secret-metadata-update \
    --id=SECRET_ID \
    --rotation='{"auto_rotate": true, "rotate_keys": true}'

Automatische Rotationsrichtlinie für private Zertifikate festlegen

Planen Sie die automatische Rotation für private Zertifikate mit ibmcloud secrets-manager secret-metadata-update.

ibmcloud secrets-manager secret-metadata-update \
    --id=SECRET_ID \
    --rotation='{"auto_rotate": true,"interval": 30,"unit": "day"}'

Einrichten einer automatischen Rotationsrichtlinie für IAM-Anmeldeinformationen

Planen Sie den automatischen Wechsel für IAM-Berechtigungsnachweise mithilfe von ibmcloud secrets-manager secret-metadata-update.

ibmcloud secrets-manager secret-metadata-update \
    --id=SECRET_ID \
    --rotation='{"auto_rotate": true,"interval": 30,"unit": "day"}'

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Einrichten einer automatischen Rotationsrichtlinie für Dienstanmeldeinformationen

Planen Sie die automatische Rotation für Serviceberechtigungsnachweise mithilfe von ibmcloud secrets-manager secret-metadata-update.

ibmcloud secrets-manager secret-metadata-update \
    --id=SECRET_ID \
    --rotation='{"auto_rotate": true,"interval": 30,"unit": "day"}'

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Einrichten einer automatischen Rotationsrichtlinie für benutzerdefinierte Anmeldeinformationen

Planen Sie die automatische Rotation für benutzerdefinierte Berechtigungsnachweise mit der Option ibmcloud secrets-manager secret-metadata-update.

ibmcloud secrets-manager secret-metadata-update \
    --id=SECRET_ID \
    --rotation='{"auto_rotate": true,"interval": 30,"unit": "day"}'

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Automatische Rotation mit der API planen

Sie können die automatische Rotation geheimer Schlüssel mithilfe der API Secrets Manager planen.

Automatische Rotationsrichtlinie für Benutzerberechtigungsnachweise festlegen

Die folgende Beispielanforderung erstellt eine automatische Rotationsrichtlinie für einen geheimen Schlüssel für Benutzerberechtigungsnachweise (username_password). Wenn Sie die API aufrufen, müssen Sie die ID-Variablen und das IAM-Token durch die Werte ersetzen, die für Ihre Secrets Manager-Instanz spezifisch sind.

curl -X PATCH
   -H "Authorization: Bearer {iam_token}" \
   -H "Accept: application/json" \
   -H 'Content-Type: application/merge-patch+json' \
   -d '{
            "rotation": {
               "auto_rotate": true,
               "interval": 1,
               "unit": "month"
            }
         }' \
      "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets/{id}/metadata"

Eine erfolgreiche Antwort gibt den ID-Wert für den geheimen Schlüssel zusammen mit anderen Metadaten zurück. Weitere Informationen zu den erforderlichen und optionalen Anforderungsparametern finden Sie in der API-Referenz.

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Automatische Rotationsrichtlinie für öffentliche Zertifikate festlegen

Wenn Sie möchten, dass Ihre Zertifikate automatisch erneuert werden, können Sie die automatische Rotation für Zertifikate aktivieren, wenn Sie sie bestellen, oder indem Sie die Details eines vorhandenen Zertifikats bearbeiten. Im nächsten Rotationszyklus des Zertifikats bestellt Secrets Manager das Zertifikat 31 Tage vor seinem Ablaufdatum erneut.

Öffentliches Zertifikat bestellen, das automatisch erneuert wird

In der folgenden Beispielanforderung wird ein Zertifikat mit aktivierter automatischer Rotation bestellt. Wenn Sie die API aufrufen, setzen Sie die Eigenschaft auto_rotate auf true. Optional können Sie rotate_keys auf true setzen, um bei jeder Rotation einen neuen privaten Schlüssel für das Zertifikat anzufordern.

curl -X POST
   -H "Authorization: Bearer {iam_token}" \
   -H "Accept: application/json" \
   -H "Content-Type: application/json" \
   -d '{
         "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
         },
         "rotation": {
            "auto_rotate": true,
            "rotate_keys": true
         },
         "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
         }
      }' \
   "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Eine erfolgreiche Antwort gibt den ID-Wert für das Zertifikat zusammen mit anderen Metadaten zurück. Weitere Informationen zu den erforderlichen und optionalen Anforderungsparametern finden Sie unter API-Referenz.

Einrichten einer automatischen Rotationsrichtlinie für IAM-Anmeldeinformationen

Die folgende Beispielanforderung erstellt eine automatische Rotationsrichtlinie für ein IAM-Anmeldedatengeheimnis (iam_credentials). Wenn Sie die API aufrufen, müssen Sie die ID-Variablen und das IAM-Token durch die Werte ersetzen, die für Ihre Secrets Manager-Instanz spezifisch sind.

curl -X PATCH
   -H "Authorization: Bearer {iam_token}" \
   -H "Accept: application/json" \
   -H 'Content-Type: application/merge-patch+json' \
   -d '{
          "rotation": {
            "auto_rotate": true,
            "interval": 30,
            "unit": "day"
          }
         }' \
      "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets/{id}/metadata"

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Das definierte Rotationsintervall darf nicht größer als die definierte Lebensdauer sein. Die Rotation ist nur für IAM-Berechtigungsnachweise verfügbar, wenn der Wiederverwendungschlüssel auf true gesetzt ist. Sie können die Lebensdauer für geheime Schlüssel festlegen, indem Sie minute-Zeiteinheiten verwenden. Für diese geheimen Schlüssel ist die Rotation jedoch nicht verfügbar.

Einrichten einer automatischen Rotationsrichtlinie für Dienstanmeldeinformationen

Die folgende Beispielanforderung erstellt eine automatische Rotationsrichtlinie für ein Dienstanmeldungsgeheimnis (service_credentials). Wenn Sie die API aufrufen, müssen Sie die ID-Variablen und das IAM-Token durch die Werte ersetzen, die für Ihre Secrets Manager-Instanz spezifisch sind.

curl -X PATCH
   -H "Authorization: Bearer {iam_token}" \
   -H "Accept: application/json" \
   -H 'Content-Type: application/merge-patch+json' \
   -d '{
          "rotation": {
            "auto_rotate": true,
            "interval": 30,
            "unit": "day"
          }
         }' \
      "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets/{id}/metadata"

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Das definierte Rotationsintervall darf nicht größer als die definierte Lebensdauer sein.

Einrichten einer automatischen Rotationsrichtlinie für benutzerdefinierte Anmeldeinformationen

Die folgende Beispielanforderung erstellt eine automatische Rotationsrichtlinie für ein Geheimnis mit benutzerdefinierten Anmeldeinformationen (custom_credentials). Wenn Sie die API aufrufen, müssen Sie die ID-Variablen und das IAM-Token durch die Werte ersetzen, die für Ihre Secrets Manager-Instanz spezifisch sind.

curl -X PATCH
   -H "Authorization: Bearer {iam_token}" \
   -H "Accept: application/json" \
   -H 'Content-Type: application/merge-patch+json' \
   -d '{
          "rotation": {
            "auto_rotate": true,
            "interval": 30,
            "unit": "day"
          }
         }' \
      "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets/{id}/metadata"

Um eine Richtlinie zu entfernen, lassen Sie den Ressourcenblock leer.

Das definierte Rotationsintervall darf nicht größer als die definierte Lebensdauer sein.