什么是机密管理？

机密管理是指对密码、应用编程接口（API）密钥、配置文件等 IT 凭据进行管控的过程。IT 企业组织使用机密管理来确保敏感信息的机密性和时效性，同时向有需要的人员和系统提供对受控资源的访问权限。

机密管理是一个宽泛的概念。在企业环境中，良好的机密管理通常意味着有一个集中位置来存储机密，并将该机密存储库与 IT 自动化工具集成。对于软件开发团队而言，机密管理可以融入 DevSecOps 工作流中。本文将深入解析企业机密管理的工作原理及其所能带来的优势。

机密信息至关重要。正因如此，我们不会将密码写在便利贴上并粘贴在电脑旁。（如果您确实这样做，我们强烈建议采取更完善的机密管理方式！）一旦泄露机密，攻击者便能获取敏感数据，甚至窃取更多机密，进而在您的系统中横向移动。

机密管理的传统方法，是使用手动流程来跟踪机密。举个简单的例子：假设您团队中的每个人都需要不时访问各类帐户，因此您将所有登录凭据粘贴到一个文档中，并与所有人共享。这种做法短期内或许可行，但您实际上授予了超出必要的访问权限。 

这可能会引发诸多混乱，并带来不必要的风险。比如，有人更改了密码，却忘记更新列表；有人复制了列表，导致出现多个版本；也有人误删了列表；或是有人将密码硬编码到脚本中，并将其推送至公共存储库，致使机密公开暴露；又或者，当某位员工的工作帐户遭到黑客攻击后，不法分子便能获取整个列表，进而访问列表所关联的所有资源。

机密管理提供了多种方式来防范这些问题。我们无需时刻将所有安全控制措施都发挥到极致。有效机密管理的关键在于战略性地应用安全防护选项，以降低特定领域机密泄露的可能性。良好的机密管理通常包含以下基础要素：

• 身份和访问权限管理（IAM）。借助 IAM，您可以通过一个系统处理用户身份验证，然后从该系统将用户连接到其他系统。这种集中式身份验证管理依托于轻量级目录访问协议（LDAP）和安全断言标记语言（SAML）等标准。
• 访问凭据加密。加密技术可将机密转换为无解密密钥即无法读取的字符串。远程访问领域广泛应用的 Secure Shell（SSH）协议正是依赖于加密密钥。您可以从多种强度的加密算法中进行选择，并遵循标准实践，例如按周定期轮换加密密钥。加密与编码存在本质区别，编码是以一种标准方式对机密进行转换，任何人都能轻松将其还原。
• 基于角色的访问权限控制（RBAC）。RBAC 根据用户在团队或整个企业组织中的角色来分配资源访问权限。这样一来，IT 管理员就可以按工作职能对用户进行分组，并同时管理整个组的权限，而无需逐个用户单独设置。
• 证书管理。证书是保护网络通信安全的加密协议。安全套接字层（SSL）和传输层安全性（TLS）证书是互联网通信领域的标准。为建立信任，服务器需具备由证书颁发机构（CA）签发的数字证书。SSL 证书需要定期续订，而机密管理系统可以自动执行并控制这一流程。
• 零信任原则。 零信任是近年来日益普及的安全防护架构设计原则，其核心理念是假设每次交互都始于不可信状态。而且，仅会基于精细规则授予对敏感资源的访问权限。零信任以最小权限概念为基础，即用户只应获得绝对必需的资源访问权限。

机密管理并非依托单一概念或实践，而是将各种常见策略整合为一个集中化、自动化的流程。

机密管理不仅可以保护您的数据，还能在其他关键方面改善整体运维：

• 避免安全孤岛：通过集中控制机密，您可以防止企业组织中出现仅一小群人拥有其他人不具备的特殊访问权限的情况。
• 识别不法分子：通过实施严格的验证要求，您可以轻松地阻断潜在的黑客，并阻止他们假冒认证用户的身份。
• 实现凭据管理自动化：通过自动化凭据验证和准入，您可以减少对用户进行身份验证所需的手动工作量，并让他们的工作流不受阻碍地继续推进。

在企业计算环境中，风险更高，机密管理也更为复杂。管理员必须负责任地分配对众多不同系统和数据集的访问权限，而许多用户也需要在不同时间段访问各种资源。企业机密管理已是一个成熟的技术领域，拥有多种解决方案可供选择，其中也包含开源解决方案。

红帽® Ansible® 自动化平台和红帽 OpenShift® 采用开放标准，可与多种机密管理工具集成。Ansible 自动化平台的机密管理功能支持与 HashiCorp Vault、CyberArk、AWS Secrets Manager、Azure Key Vault 等其他主流平台集成。

HashiCorp Vault

HashiCorp Vault 是一个用于 IAM 和机密管理的集中式平台。Vault 提供动态、有时限的凭据，并可帮助您维护敏感数据的单一事实来源。Vault 代理可以与红帽 Ansible 自动化平台和红帽 OpenShift 集成，以跨自定义 IT 环境管理访问凭据和证书。

Vault 与红帽 Ansible 自动化平台协同工作，还可协助您实施访问控制以及合规性审计和修复。您可以借此实现集中式治理，从而不仅能降低风险、简化审计，还能确保基础架构变更合规且可追溯。

了解红帽和 HashiCorp Vault

Cyberark

红帽与 CyberArk 携手助力保障凭据与数据安全（2:03）

CyberArk 提供了 IAM 和机密平台来管理用户对资源的访问权限。红帽 Ansible 自动化平台可与 CyberArk Conjur 集成，帮助您在应用环境中应用安全防护策略和管理机密，包括用于 DevOps 以及持续集成和持续交付（CI/CD）工具。

您可以在整个 DevOps 流程中自动嵌入机密管理最佳实践。这包括置备机密供应用使用、根据企业组织安全防护策略轮换机密、监控特权用户访问、提高可见性、维护合规性标准等。

了解红帽和 CyberArk

Kubernetes 环境中的机密管理

在 Kubernetes 部署（如红帽 OpenShift 环境）中，应用以容器集群形式组织，而这些容器需要访问机密才能与其他系统通信并执行其预期功能。

Kubernetes 中的机密管理主要有两种方式：环境变量注入和卷挂载。

• 采用环境变量形式时，机密的键值对会作为环境变量直接注入到容器中。
• 使用卷挂载方式时，机密作为一组文件挂载到容器的文件系统中。应用代码通过读取这些文件来获取机密数据。

卷挂载具有多重安全优势，也是红帽 OpenShift 推荐采用的方法。红帽 OpenShift 安全防护模型可为环境变量提供基础保护，但默认采用卷挂载能进一步最大限度保障机密的安全性。

与此相关的 Kubernetes 机密管理机制，通过对象化方式将机密数据与应用代码分离，这样机密就不会直接暴露在代码中。这与 GitOps 中的安全防护架构实践相契合。

进一步了解红帽 OpenShift 中的机密管理

红帽秉持开源安全防护原则，全力保护客户、贡献者和合作伙伴社区，帮助他们远离数字安全威胁带来的风险。这包括在产品中内置机密管理功能，并支持与其他机密管理解决方案集成。 

红帽企业 Linux® 可在高度动态且可扩展的环境中，为集中式身份管理、身份验证和授权奠定坚实基础。

红帽 OpenShift 可为基于容器的应用开发提供内置安全控制机制，包括符合 DevOps 理念的机密管理策略。

红帽 Ansible 自动化平台可助力实现集中化、自动化的机密管理，同时能与通用机密存储库集成。