Secrets

Le problème

Un identifiant dans une description est un identifiant dans le contrôle de version, dans chaque sauvegarde du magasin et dans chaque réponse qui renvoie la description. Le conserver ailleurs résout cela et crée deux nouveaux problèmes : le matériel doit exister avant la chose qui le lit, et personne ne peut dire ensuite quels déploiements en dépendent.

Le second problème est ce qui rend la rotation effrayante. Si vous ne pouvez pas énumérer les lecteurs, vous ne pouvez pas tourner sans deviner qui casse.

Comment la plateforme le résout

Une description référence du matériel ; elle ne le contient jamais. La référence est un chemin dans le stockage propre au locataire propriétaire, et la valeur est résolue lorsque le conteneur est créé. La description peut être lue, exportée et validée sans rien exposer.

Vous pouvez fournir ou créer le matériel dans la même requête qui le référence. Le matériel que vous fournissez en ligne est écrit dans le magasin pendant l’admission et supprimé avant que la description ne soit stockée — ce qui est conservé est identique à l’octet près à une description de référence seule, et aucune route ne le renvoie jamais. Le matériel que la plateforme crée est généré une fois par clé et réutilisé, de sorte qu’une modification ultérieure d’un champ sans rapport ne change pas votre mot de passe de base de données.

Un credential est nommé d’après la chose à laquelle il appartient, pas d’après le déploiement qui le lit. C’est ce qui permet à six déploiements de partager un credential et une rotation. La nomination par lecteur produisait le même mot de passe écrit dans plusieurs documents, et la rotation d’un laissait les autres servir l’ancienne valeur — un credential revendiqué sous deux espaces de noms à la fois est donc refusé, et le refus nomme l’autre déploiement et le chemin unique vers la convergence.

Les lecteurs sont dérivables, pas mémorisés. La plateforme peut répondre « quels déploiements lisent ce credential » à partir des descriptions stockées à chaque appel, la réponse ne peut donc pas devenir obsolète.

La rotation est une action, pas un champ. La rotation modifie le hash de la description, ce qui remplace le conteneur, ce qui re-résout le matériau. Il n’y a pas de compteur dans le manifeste à définir.

Not this

Cette page ne couvre pas le déverrouillage, les politiques ou les opérations du moteur de stockage. Ce sont des procédures opérationnelles pour la plateforme, pas des propriétés d’un déploiement.

Elle n’énumère pas non plus les formes de chemin acceptées, les options de génération ou les codes de rejet ; ceux-ci sont générés dans la référence, et un chemin d’identifiant reformulé en prose est un chemin qui peut être en désaccord avec celui que la plateforme applique.

Où le voir

• Le bloc des secrets, champ par champ : manifeste de déploiement.
• Chaque refus qu’un chemin peut obtenir : rejets et altérations.