Présentation
Un secret
est un type d'objet qui contient généralement des informations sensibles telles que des mots de passe, des fichiers de configuration de clients, des informations d'identification de référentiel ou d'autres données. La meilleure façon de stocker les éléments qui doivent rester privés et dissociés des pods est d'en faire des secrets
.
La gestion des secrets
joue un rôle essentiel dans la protection de l'environnement contre les fuites de données et la corruption des informations d'identification.
Définition
La gestion des secrets est une méthode qui garantit la confidentialité des informations sensibles nécessaires au fonctionnement de l'environnement au quotidien. Son application permet de renforcer la sécurité des environnements de développement et de production de l'entreprise, sans ralentir les workflows DevOps ou DevSecOps.
La gestion des secrets repose sur l'utilisation combinée de plusieurs options de sécurité différentes, telles que l'authentification des accès et le suivi, le principe des privilèges ou encore le contrôle d'accès basé sur les rôles. Ces options assurent la gestion adéquate des secrets et évitent que des données importantes ne soient divulguées à des utilisateurs non authentifiés.
Sur le marché, il existe plusieurs outils d'automatisation capables de gérer les secrets en contrôlant les informations d'identification des ressources protégées depuis un seul et unique point : la solution Red Hat® Ansible® Automation Platformsur Red Hat® OpenShift®, CyberArk, ainsi que de nombreuses autres options fournies avec Git et GitLab.
Ressources Red Hat
Fonctionnement de la gestion des secrets
La gestion des secrets repose sur la mise en œuvre d'une structure de sécurité et d'options de sécurité à différents points clés du cycle DevSecOps.
L'exemple ci-dessus montre les différentes solutions de sécurité qui peuvent être associées à certains points du cycle DevOps. Avec une solution d'analyse de la composition logicielle, il est ainsi possible d'analyser le code base des logiciels Open Source dans l'environnement de développement intégré, le référentiel de versions, le registre de conteneurs et les clusters. L'entreprise peut ainsi se protéger des vulnérabilités en aval dans le code base. De plus, la mise en œuvre combinée de coffres-forts à secrets et d'outils d'authentification lors des phases importantes du développement peut poser plus de difficultés aux pirates et acteurs malveillants.
La gestion des secrets et les solutions de sécurité peuvent s'avérer utiles dans bien d'autres situations. Pour une gestion des secrets efficace, il ne faut pas nécessairement mettre en œuvre chacun des éléments listés ci-dessus, mais plutôt appliquer des options de sécurité stratégiques qui réduiront la surface d'attaque des secrets au niveau de la charge de travail.
Avantages de la gestion des secrets
Si les secrets sont déjà encodés dans les solutions OpenShift et Kubernetes, cette technique ne suffit pas toujours pour garantir la sécurité des données. En effet, le processus d'encodage ne fait que convertir les données dans un autre format, et il peut être inversé. En plus de l'étape de transformation des données, le chiffrement impose l'utilisation de clés spécifiques pour accéder aux données ou les reconvertir. Cette méthode, beaucoup plus sûre pour verrouiller les données, peut être mise en œuvre dans le cadre d'une stratégie de gestion des secrets.
Outre la protection des données de l'entreprise, la gestion des secrets apporte de nombreux avantages :
- Limitation de la prolifération des secrets et des îlots de sécurité : le contrôle centralisé des secrets permet d'éviter d'accorder des accès privilégiés à une poignée de collaborateurs dans l'entreprise.
- Identification des acteurs malveillants : en appliquant des exigences de vérification élevées, il est possible de bloquer les pirates qui cherchent à se faire passer pour un utilisateur autorisé.
- Automatisation des informations d'identification : la vérification et l'admission automatisées des informations d'identification réduisent les interventions manuelles liées à l'authentification des utilisateurs et empêchent de freiner leurs workflows.
Maintenant que vous maîtrisez la gestion des secrets, découvrez plus d'options pour renforcer la sécurité des workflows de votre entreprise.
Le blog officiel de Red Hat
Découvrez les dernières informations concernant notre écosystème de clients, partenaires et communautés.