Secrets verwalten

Die Rotationsfunktionen umfassten die folgenden vier Schritte:

1. VERIFY_CONNECTION: Prüft die Verbindung zum Zielsystem mit den vorhandenen Zugangsdaten, die im Secret gespeichert sind.
2. CREATE_PENDING_VERSION: Erstellt eine neue ausstehende Secret-Version im Secret.
3. UPDATE_TARGET_SYSTEM: Aktualisiert das Zielsystem mit den Zugangsdaten, die in der ausstehenden Secret-Version gespeichert sind, die im zweiten Schritt erstellt wurde.
4. PROMOTE_PENDING_VERSION: Aktualisiert den Status des Secrets von "Ausstehend" in "Aktuell".

Funktions-Handler:

Der Funktions-Handler muss die Logik enthalten, um den entsprechenden Rotationsschritt basierend auf dem Schrittparameter aufzurufen. Dies kann entweder mit IF ELSE bedingten Anweisungen oder mit Switch Case erreicht werden. Der Funktions-Handler generiert einen Fehler, wenn ein ungültiger Schrittparameter angegeben ist.

Eingabe:

Der Funktions-Handler erwartet einen einzelnen Parameter: SecretRotationInput. Die secretRotationInput ist ein POJO (Plain-old java-Objekt), das die für die Rotation erforderlichen Parameter enthält, einschließlich secretId(Zeichenfolge), Schritt(Zeichenfolge) und currentVersionNo(Lang).

• secretId: Die Secret-ID oder OCID
• Schritt: Der Rotationsschritt (muss einer von VERIFY_CONNECTION, CREATE_PENDING_VERSION, UPDATE_TARGET_SYSTEM oder PROMOTE_PENDING_VERSION sein)
• currentVersionNo: Die Nummer der Secret-Version CURRENT

SecretRotationInput POJO

@Getter
@Setter
@ToString(callSuper = true)
@JsonInclude(JsonInclude.Include.NON_NULL)
@AllArgsConstructor
@Builder(toBuilder = true)
public static class SecretRotationInput {
    private String step;
    private Long versionNo;
    private String secretId;
}                

Beispiel für Funktions-Handler-Code:

public static class SecretRotationOutput {
    int responseCode;
    Long currentVersionNo;
    String returnMessage;
}
 
 
public SecretRotationOutput handleRequest(SecretRotationInput input) {
    switch(input.getStep()) {
        case "VERIFY_CONNECTION":
            return verifyConnection(input.getSecretId());
        case "CREATE_PENDING_VERSION":
            return createNewPendingVersion(input.getSecretId());
        case "UPDATE_TARGET_SYSTEM":
            return updateTargetSystem(input.getSecretId(), input.getVersionNo());
        case "PROMOTE_PENDING_VERSION":
            return promotePendingVersion(input.getSecretId(), input.getVersionNo());
        default:
            log.error("Secret Rotation: invalid rotation step");
            return SecretRotationOutput.builder()
                    .responseCode(400)
                    .currentVersionNo(null)
                    .returnMessage("INVALID STEP")
                    .build();
    }
}

Schritt 1: VERIFY_CONNECTION

Dieser Schritt prüft die Verbindung zum Zielsystem.

• Eingabe: Diese Methode erwartet nur den Parameter SecretId.
• Ausgabe: Diese Methode gibt SecretRotationOutput aus.
• Logik: Die Funktion versucht zunächst, die Version PENDING abzurufen und die Verbindung mit ihr zu prüfen. Dadurch wird das Fehlerszenario behandelt, bei dem die vorherige Wiederholung die Version PENDING nicht hochstufen konnte, die Version jedoch erfolgreich auf das System angewendet wurde. Wenn es erfolgreich ist, geben Sie die Erfolgsantwort zurück. Wenn der Fehler auftritt, rufen Sie die aktuelle Version ab, und prüfen Sie die Verbindung. Wenn dies erfolgreich ist, geben Sie den Erfolgsantwortcode zusammen mit der aktuellen Versionsnummer zurück. Wenn es nicht erfolgreich ist, geben Sie den Fehler zurück.

Pseudocode für VERIFY_CONNECTION

pseudo code for verifyConnection:
    Check if "PENDING" secret version exists
        If it exist, verify connection
            If succeeds, then return success.
    Fetch the "CURRENT" secret version
    Verify connection with "CURRENT" secret version
       If succeeds, return success and the current version number in the response.
        If not, return SecretRotationOutput with appropriate error code and message.

Schritt 2: CREATE_PENDING_VERSION

Generiert eine neue ausstehende Secret-Version.

• Eingabe: Diese Methode akzeptiert auch den Parameter secretId.
• Ausgabe: Diese Methode gibt SecretRotationOutput aus.

• Logik: Diese Methode prüft zuerst, ob eine Secret-Version im Status PENDING vorhanden ist. Wenn keine Version vorhanden ist, wird eine neue PENDING-Secret-Version generiert. Wenn jedoch bereits einer vorhanden ist, gibt der Schritt die Erfolgsantwort zurück. Mit dem Secret-Metadatenfeld können Sie auch zusätzliche Details zur Secret-Struktur speichern und dieselbe Struktur beim Erstellen einer neuen Secret-Version verwenden. Sie können auch das Feature für die automatische Generierung des Secret-Service verwenden, um den Secret-Inhalt automatisch zu generieren. Mit der automatischen Generierung können Sie allgemeinere Funktionen schreiben.

Pseudocode für CREATE_PENDING_VERSION

pseudo code for createPendingVersion:
    Try to get the pending version
        If it succeeds, return success
        Else create a new secret version in "PENDING" state and then return success

Beispielcode:

// Constructor
public void constructorClass() {
     secretsDpClient = SecretsClient.builder()
                    .region(region)
                    .configuration(configuration)
                    .build(auth_provider);
     secretsCpClient = VaultsClient.builder()
                    .region(region)
                    .configuration(configuration)
                    .build(auth_provider);
}
 
private String createNewPassword() {
    // This method must contains the logic to generate the new secret content
}
  
private SecretRotationOutput createNewPendingVersion(SecretRotationInput input) {
    // Make sure the given secret exist
    Secret secret = secretsCpClient.getSecret(GetSecretRequest.builder()
                    .secretId(input.getSecretId())
            .build()).getSecret();
  
    // Now try to get the pending secret version, if that fails, create a new one
    try {
        GetSecretBundleRequest getSecretBundleRequest = GetSecretBundleRequest.builder()
                .secretId(input.getSecretId())
                .stage(GetSecretBundleRequest.Stage.Pending)
                .build();
        secretsDpClient.getSecretBundle(getSecretBundleRequest);
        return SecretRotationOutput.builder()
                .responseCode(200)
                .returnMessage("Successfully retrieved the pending secret version")
                .build();
    } catch (BmcException bmc) {
        // Create a new pending version
        UpdateSecretDetails updateSecretDetails = secret.getIsAutoGenerationEnabled() ? UpdateSecretDetails.builder()
                .secretContent(Base64SecretContentDetails.builder()
                        .stage(SecretContentDetails.Stage.Pending)
                        .build())
                .build() : UpdateSecretDetails.builder()
                .secretContent(Base64SecretContentDetails.builder()
                        .content(createNewPassword())
                        .stage(SecretContentDetails.Stage.Pending)
                        .build())
                .build();
        secretsCpClient.updateSecret(UpdateSecretRequest.builder()
                .secretId(input.getSecretId())
                .updateSecretDetails(updateSecretDetails)
                .build()).getSecret();
        log.info("Successfully added a new version with 'PENDING' stage for secretId {}", input.getSecretId());
        return SecretRotationOutput.builder()
                .responseCode(200)
                .returnMessage("Pending version created successfully")
                .currentVersionNo(input.getVersionNo())
                .build();
    }
}

Schritt 3: UPDATE_TARGET_SYSTEM

Legt das ausstehende Secret im Zielsystem fest.

• Eingabe: Diese Methode akzeptiert die Werte currentVersionNo und secretId.
• Ausgabe: Diese Methode gibt auch SecretRotationOutput aus.
• Logik: Diese Methode versucht zunächst, sich mit der Secret-Version PENDING beim Zielsystem anzumelden und kehrt bei Erfolg zurück. Dadurch wird auch das Fehlerszenario behandelt, bei dem die vorherige Wiederholung die ausstehende Version nicht hochstufen konnte, die Version jedoch erfolgreich auf das System angewendet wurde. Wenn dies nicht erfolgreich ist, versucht er, sich mit der Secret-Version CURRENT anzumelden. Wenn die aktuelle Secret-Version erfolgreich ist, wird das Kennwort PENDING als Benutzerkennwort im Zielsystem festgelegt.

Pseudocode für UPDATE_TARGET_SYSTEM

Pseudo code for updateTargetSystem:
    Fetch the "PENDING" secret version
    Check the connection with Pending version
        It it works return success and the pending version number in the response
    Fetch the "CURRENT" secret version
    Check the connection with it
        If it works
            Update the target system with "PENDING" version
            Verify that target system is updated.
               if yes then return success and the pending version number in the response 
            else return the appropriate error code and the error message
        If not, return SecretRotationOutput with appropriate error code and message.

Beispielcode:

private SecretRotationOutput updateTargetSystem(String secretId, Long currentVersionNo) {
    // Get the pending secret version
    SecretBundle pendingSecretBundle = secretsDpClient.getSecretBundle(GetSecretBundleRequest.builder()
                    .secretId(secretId)
                    .stage(GetSecretBundleRequest.Stage.Pending)
            .build()).getSecretBundle();
  
    // First try to login with the pending secret, if it succeeds, return
    Connection conn = getConnection(pendingSecretBundle);
    if(conn) {
        log.info("Updated the target system with pending version");
        return SecretRotationOutput.builder()
                    .responseCode(200)
                    .returnMessage("Successfully update target service")
                    .currentVersionNo(pendingSecretBundle.getVersionNumber())
                    .build();
    }
  
    SecretBundle currentSecretBundle = secretsDpClient.getSecretBundle(GetSecretBundleRequest.builder()
                    .versionNumber(currentVersionNo)
                    .secretId(secretId)
            .build()).getSecretBundle();
  
    conn = getConnection(currentSecretBundle);
    if(conn) {
        // Write logic to update the target system and check the connection with the updated password
    } else {
        log.error("Unable to log into system using the current version");
        return SecretRotationOutput.builder()
                .returnMessage("Unable to log into system using the current version")
                .responseCode(400)
                .build();
    }
}

Schritt 4: PROMOTE_PENDING_VERSION

Beenden Sie die Rotation, indem Sie das ausstehende Secret als aktuell markieren.

• Eingabe: Diese Methode akzeptiert die Werte currentVersionNo und secretId.
• Ausgabe: Diese Methode gibt auch SecretRotationOutput aus.
• Logik: Rufen Sie den Secret-Service auf, um die PENDING-Version auf CURRENT hochzustufen. UpdateRequest muss angeben, welche Version in CURRENT hochgestuft werden soll.

Pseudocode für PROMOTE_PENDING_VERSION

pseudo code for promotePendingVersion:
    Make updateSecret Api call to promote the specified version to "CURRENT"

Beispielcode:

private SecretRotationOutput promotePendingVersion(String secretId, Long versionNo) {
    try {
        Secret secret = secretsCpClient.updateSecret(UpdateSecretRequest.builder()
                .secretId(secretId)
                .updateSecretDetails(UpdateSecretDetails.builder()
                        .currentVersionNumber(versionNo)
                        .build())
                .opcRequestId(UUID.randomUUID().toString())
                .build()).getSecret();
        log.info("Successfully promoted the version number {} to 'CURRENT'", versionNo);
        return SecretRotationOutput.builder()
                .responseCode(200)
                .currentVersionNo(secret.getCurrentVersionNumber())
                .returnMessage("Successfully promoted the pending version")
                .build();
    } catch (BmcException bmc) {
        log.error("Fail to promote the pending version. SecretId: {}, pendingVersionNo: {}. {}", secretId, versionNo, bmc.getMessage());
        return SecretRotationOutput.builder()
                .returnMessage(bmc.getMessage())
                .responseCode(bmc.getStatusCode())
                .build();
    }
}