Was ist Secrets Management?

Ein Secret ist ein Objekttyp, der im Allgemeinen vertrauliche Informationen wie Passwörter, Client-Konfigurationsdateien, Repository-Zugangsdaten und vieles mehr enthält. Elemente, die privat und von Pods entkoppelt bleiben sollen, werden am besten als Secrets gespeichert.

Das Management dieser Secrets ist wichtig, um Ihre Umgebung vor Datenschutzverletzungen und kompromittierten Anmeldeinformationen zu schützen.

Mit dem Secrets Management können Sie sicherstellen, dass die sensiblen Daten, die Sie für Ihre tägliche Arbeit benötigen, vertraulich behandelt werden. Es stärkt die Sicherheit in den Entwicklungs- und Produktionsumgebungen Ihres Unternehmens, ohne die Workflows von DevOps oder Security Ops zu beeinträchtigen. 

Beim Secrets Management handelt es sich nicht um ein einzelnes Element, sondern um die Anwendung vieler verschiedener Sicherheitsoptionen, wie etwa authentifizierter Zugang und Tracking, Berechtigungsprinzipien, Role-based Access Controlund mehr. So wird sichergestellt, dass Secrets angemessen verwaltet werden, ohne dass wichtige Daten an nicht authentifizierte Nutzende weitergegeben werden. 

Es gibt eine Reihe von Automatisierungs-Tools, die Secrets über einen einzigen Authentifizierungspunkt für geschützte Ressourcen verwalten können. Einige der verfügbaren Tools sind Red Hat® Ansible® Automation Platformmit Red Hat® OpenShift®, CyberArk oder verschiedene Optionen innerhalb von Git und GitLab.

Secrets Management funktioniert durch das Einhalten eines Sicherheits-Frameworks und das Implementieren von Sicherheitsoptionen an verschiedenen wichtigen Punkten des DevSecOps-Lifecycles.

Im obigen Beispiel können Sie sehen, welche Sicherheitslösungen bestimmten Punkten des DevOps-Lifecycles zugeordnet werden können. Software Composition Analysis kann beispielsweise eingesetzt werden, um Ihre Codebasis nach Open Source-Software in Ihrer integrierten Entwicklungsumgebung (Integrated Development Environment, IDE), Ihrem Build Repository, Ihrer Container Registry und Ihren Clustern zu durchsuchen. Diese Maßnahme kann vor Downstream-Schwachstellen in Ihrer Codebasis schützen. Das Implementieren von Secret Vaults und Authentifizierungs-Tools in den wichtigsten Phasen des Entwicklungszyklus könnte auch die Chancen für Hacker oder andere potenzielle Angreifer verringern. 

Dies ist nur ein Beispiel dafür, wie effektive Lösungen für das Secrets Management und die Sicherheit aussehen können. Für ein effektives Management von Secrets müssen Sie nicht sämtliche oben aufgeführte Punkte implementieren. Es reicht die strategische Anwendung von Sicherheitsoptionen, um die Gefahr einer Komprimittierung von Secrets in Ihren spezifischen Workloads zu reduzieren. 
 

Es ist wichtig zu beachten, dass Secrets in OpenShift und Kubernetes standardmäßig codiert sind. Das reicht aber möglicherweise nicht aus, um Ihre Daten zu schützen Beim Codieren werden die Daten in ein anderes Format umgewandelt, was wieder rückgängig gemacht werden kann. Bei der Verschlüsselung hingegen werden die Daten umgewandelt, und es werden bestimmte Schlüssel benötigt, um sie umzukehren oder auf sie zuzugreifen. Dabei handelt es sich um eine weitaus sicherere Methode der Datensicherung, die im Rahmen Ihrer Strategie zum Secrets Management eingesetzt werden kann.

Abgesehen davon, dass die Daten Ihres Unternehmens sicher sind, gibt es zahlreiche Gründe, weshalb Secrets Management vorteilhaft sein kann:

• Vermeiden der Ausbreitung von Secrets/Sicherheitsinseln: Durch die zentralisierte Kontrolle Ihrer Secrets können Sie verhindern, dass nur eine kleine Gruppe innerhalb Ihrer Organisation über einen speziellen Zugang verfügt, den sonst niemand hat.
• Identifizieren böswilliger Akteure: Durch das Einführen strenger Überprüfungsanforderungen können Sie potenzielle Hacker leicht abwehren und deren Versuche unterbinden, sich als berechtigte Nutzende auszugeben.
• Automatisieren von Anmeldedaten: Durch die automatisierte Überprüfung und Zulassung von Anmeldedaten verringern Sie den manuellen Aufwand für das Authentifizieren von Nutzenden und ermöglichen es ihnen, ihre Workflows ungehindert fortzusetzen.

Nun sind Sie gut über das Secrets Management informiert und können weitere Optionen zur Stärkung der Workflow-Sicherheit in Ihrem Unternehmen kennenlernen.