Rotationsstrategie definieren

Berücksichtigen Sie bei der Verwendung von Secrets Manager zum Entwerfen Ihrer Strategie für das Management geheimer Schlüssel, wie oft Sie Ihre geheimen Schlüssel basierend auf den internen Richtlinien für Ihre Organisation rotieren möchten. Bestimmen Sie im Voraus, welche Benutzer oder Service-IDs Zugriff zum Rotieren geheimer Schlüssel benötigen und wie diese geheimen Schlüssel manuell rotiert werden können, um Unterbrechungen für Ihre Anwendungen zu vermeiden.

1. Bestimmen Sie die Häufigkeit der Rotation für Ihre geheimen Schlüssel.

   Nachdem Sie einen geheimen Schlüssel in Secrets Managergespeichert haben, legen Sie die Häufigkeit der Rotation fest. Möglicherweise möchten Sie Geheimnisse aufgrund von Personalwechseln, Prozessstörungen oder gemäß den internen Richtlinien Ihres Unternehmens regelmäßig austauschen. Wechseln Sie Ihre Geheimnisse regelmäßig, zum Beispiel alle 90 Tage, um Best Practices rund um das Geheimnismanagement zu erfüllen.

2. Testen Sie die Rotationsworkflows für jeden Typ von geheimem Schlüssel, den Sie in Secrets Managerverwalten.

   Wie Secrets Manager eine Anforderung zum Rotieren eines geheimen Schlüssels auswertet, hängt vom Typ des geheimen Schlüssels ab. Einige geheime Schlüssel werden beispielsweise sofort durch die Daten ersetzt, die Sie bei der Rotation angeben, während andere geheime Schlüssel, wie z. B. öffentliche Zertifikate, in einen zusätzlichen Validierungsschritt übergehen. Weitere Informationen dazu, wie Secrets Manager Rotationsanforderungen verarbeitet, finden Sie unter Geheime Schlüssel manuell drehen.

3. Erstellen Sie Automatisierungen für die Bereitstellung der neuesten geheimen Versionen für Ihre Anwendungen.

   Verwenden Sie einen automatisierten Ablauf, um die neueste Version Ihres geheimen Schlüssels abzurufen und bereitzustellen, nachdem er turnusmäßig gewechselt wurde. Weitere Informationen finden Sie unter Anwendungsausfälle durch Sperren Ihrer geheimen Schlüssel vermeiden.

Benachrichtigungen für ablaufende Geheimnisse einrichten

Stellen Sie eine Verbindung zum Service Event Notifications her, damit Sie von Secrets Manager im Voraus benachrichtigt werden können, wenn Ihre geheimen Schlüssel oder Zertifikate in Kürze ablaufen.

1. Richten Sie Alerts für Ihre Instanz ein, indem Sie Ereignisbenachrichtigungen aktivieren. Um Ihre Instanz mit dem Service Event Notifications zu verbinden, rufen Sie die Benutzerschnittstelle von Secrets Manager auf > Einstellungen > Event Notifications.
2. Erstellen Sie Themen und Subskriptionen in Event Notifications, damit Alerts weitergeleitet und an Ihre ausgewählten Ziele, z. B. Slack oder E-Mail, zugestellt werden.

Um sicherzustellen, dass Ihre Benachrichtigungseinstellungen ordnungsgemäß funktionieren, erstellen Sie in Ihrer „ IBM Cloud Logs “-Instanz eine Benachrichtigung, die ausgelöst wird, falls bei Ihrer „ Event Notifications “-Integration mit Secrets Manager ein Fehler auftritt. Secrets Manager protokolliert die gesendete Ereignisbenachrichtigung zudem entweder als „ INFO “- oder als „ ERROR “-Protokoll.

Automatische Rotation für geheime Schlüssel aktivieren

Vereinfachen Sie den Prozess der Rotation geheimer Schlüssel in Ihrer Instanz, indem Sie die automatische Rotation aktivieren.

1. Verwenden Sie die automatische Rotation, um zu begrenzen, wie lange Ihre geheimen Schlüssel aktiv bleiben.

   Durch die Planung der automatischen Rotation geheimer Schlüssel in regelmäßigen Intervallen verringern Sie die Wahrscheinlichkeit, dass Berechtigungsnachweise beeinträchtigt werden. Wenn es Zeit ist, den geheimen Schlüssel basierend auf dem von Ihnen angegebenen Rotationsintervall zu rotieren, erstellt Secrets Manager automatisch eine neue Version Ihres geheimen Schlüssels. Weitere Informationen finden Sie unter Geheime Schlüssel automatisch drehen.

2. Planen Sie die automatische Rotation so, dass sie stattfindet, bevor Ihre geheimen Schlüssel ablaufen.

   Um Unterbrechungen Ihrer Anwendungen zu vermeiden, wird empfohlen, das Mindestintervall zwischen automatischer Rotation und Ablaufdatum auf 30 Tage zu setzen.

Vermeiden Sie Anwendungsausfälle, indem Sie Ihre geheimen Schlüssel sperren

Verwenden Sie Sperren, um die regelmäßige Rotation geheimer Schlüssel zu planen. Wenn Sie Sperren für einen geheimen Schlüssel als Teil eines automatisierten Workflows erstellen und entfernen, können Sie geheime Schlüssel nur dann sicher löschen, wenn ihre neuesten Versionen vollständig in Ihren Anwendungen implementiert sind.

1. Erstellen Sie Sperren für einen geheimen Schlüssel, um die Anwendungen oder Services darzustellen, die ihn verwenden. Um eine Sperre über die Benutzerschnittstelle von Secrets Manager zu erstellen, wechseln Sie zur Seite Geheime Schlüssel und klicken Sie auf das Menü Aktionen > Sperren.

   Sie können sich eine Sperre als eine Art Zuordnung vorstellen, die Sie zwischen einem geheimen Schlüssel und dem Client oder der Anwendung, der bzw. die sie konsumiert, erstellen können. Wenn einem geheimen Schlüssel eine Sperre zugeordnet ist, bedeutet dies, dass er nicht geändert werden sollte, da er derzeit von Ihrer Anwendung verwendet wird.

   Ein Geheimnis kann nur dann entschlüsselt und gelöscht oder geändert werden, wenn alle zugehörigen Sperren entfernt wurden.

2. Erstellen Sie einen automatisierten Ablauf, mit dem Sie alte oder abgelaufene geheime Schlüssel aus Ihrer Instanz sicher löschen können, nachdem Ihre Anwendungen die neuesten Versionen geheimer Schlüssel abgerufen haben. Nehmen Sie beispielsweise folgendes Szenario an:

   Sie erstellen einen geheimen Schlüssel, der in 89 Tagen abläuft und so geplant ist, dass er automatisch in 90 Tagen rotiert wird.

   Beispiel für einen automatisierten Arbeitsablauf zum Sperren von Geheimnissen.

   	Beschreibung der Aktion
   1	Führen Sie eine Pipeline aus, die den geheimen Schlüssel von Secrets Manager abruft und in einem Kubernetes-Cluster bereitstellt, sodass er von Ihren Anwendungen verwendet werden kann.
   2	Erstellen Sie Sperren für die aktuelle Version des geheimen Schlüssels (eine Sperre für jede Anwendung oder jeden Service, die den geheimen Schlüssel verwendet).
   3	Empfangen Sie nach 90 Tagen eine Benachrichtigung von Event Notifications, dass Ihr geheimer Schlüssel turnusmäßig gewechselt wurde. Führen Sie als Antwort auf die Benachrichtigung eine Pipeline zum Abrufen der neuesten Version des geheimen Schlüssels aus und stellen Sie sie in Ihrem Cluster bereit.
   4	Führen Sie eine weitere Pipeline aus, die 1) prüft, ob die neue Version des geheimen Schlüssels von den Service-Pods in Ihrem Cluster übernommen wurde, und 2) beide Sperren für die vorherige Version des geheimen Schlüssels in Secrets Managerentfernt.
   5	Nach zwei Tagen läuft die vorherige Version des geheimen Schlüssels ab und wird sicher aus Ihrer Instanz gelöscht. Der nächste periodische Rotationszyklus wiederholt die Schritte 2-4.