シークレットの管理

ローテーション関数には、次の4つのステップが含まれています。

1. VERIFY_CONNECTION: シークレットに格納されている既存の資格証明を使用して、ターゲット・システムへの接続を検証します。
2. CREATE_PENDING_VERSION: シークレットに新しい保留中のシークレット・バージョンを作成します。
3. UPDATE_TARGET_SYSTEM: 2番目のステップで作成した保留中のシークレット・バージョンに格納されている資格証明でターゲット・システムを更新します。
4. PROMOTE_PENDING_VERSION: シークレットの状態をpendingからcurrentに更新します。

関数ハンドラ:

ファンクション・ハンドラには、ステップ・パラメータに基づいて適切な回転ステップをコールするロジックが含まれている必要があります。これは、IF ELSE条件文またはswitch caseを使用して実行できます。無効なステップ・パラメータが指定されている場合、関数ハンドラはエラーを生成します。

入力:

ファンクション・ハンドラは、単一のパラメータSecretRotationInputを必要とします。secretRotationInputは、secretId(String)、step(String)およびcurrentVersionNo(Long)など、ローテーションに必要なパラメータを含むPOJO (Plain-old java object)です。

• secretId: シークレット識別子またはOCID
• ステップ:ローテーション・ステップ(VERIFY_CONNECTION、CREATE_PENDING_VERSION、UPDATE_TARGET_SYSTEMまたはPROMOTE_PENDING_VERSIONのいずれかである必要があります)
• currentVersionNo: CURRENTシークレット・バージョンの番号

SecretRotationInputポジョ

@Getter
@Setter
@ToString(callSuper = true)
@JsonInclude(JsonInclude.Include.NON_NULL)
@AllArgsConstructor
@Builder(toBuilder = true)
public static class SecretRotationInput {
    private String step;
    private Long versionNo;
    private String secretId;
}                

サンプル関数ハンドラコード:

public static class SecretRotationOutput {
    int responseCode;
    Long currentVersionNo;
    String returnMessage;
}
 
 
public SecretRotationOutput handleRequest(SecretRotationInput input) {
    switch(input.getStep()) {
        case "VERIFY_CONNECTION":
            return verifyConnection(input.getSecretId());
        case "CREATE_PENDING_VERSION":
            return createNewPendingVersion(input.getSecretId());
        case "UPDATE_TARGET_SYSTEM":
            return updateTargetSystem(input.getSecretId(), input.getVersionNo());
        case "PROMOTE_PENDING_VERSION":
            return promotePendingVersion(input.getSecretId(), input.getVersionNo());
        default:
            log.error("Secret Rotation: invalid rotation step");
            return SecretRotationOutput.builder()
                    .responseCode(400)
                    .currentVersionNo(null)
                    .returnMessage("INVALID STEP")
                    .build();
    }
}

ステップ1: VERIFY_CONNECTION

このステップでは、ターゲット・システムへの接続を検証します。

• 入力: このメソッドは、パラメータSecretIdのみを想定しています。
• 出力: このメソッドはSecretRotationOutputを出力します。
• ロジック: このファンクションは、まずPENDINGバージョンをフェッチし、それとの接続を検証しようとします。これは、以前の再試行がPENDINGバージョンの昇格に失敗したが、バージョンがシステムに正常に適用された失敗シナリオを処理します。成功した場合は、成功レスポンスを返します。失敗した場合は、現在のバージョンをフェッチして接続を確認します。成功した場合は、現在のバージョン番号とともに成功レスポンス・コードを返します。成功しない場合は、エラーを返します。

VERIFY_CONNECTIONの疑似コード

pseudo code for verifyConnection:
    Check if "PENDING" secret version exists
        If it exist, verify connection
            If succeeds, then return success.
    Fetch the "CURRENT" secret version
    Verify connection with "CURRENT" secret version
       If succeeds, return success and the current version number in the response.
        If not, return SecretRotationOutput with appropriate error code and message.

ステップ2: CREATE_PENDING_VERSION

新しい保留中のシークレット・バージョンを生成します。

• 入力: このメソッドは、secretIdパラメータも受け入れます。
• 出力: このメソッドはSecretRotationOutputを出力します。

• ロジック: このメソッドは、最初にPENDING状態のシークレット・バージョンが存在するかどうかをチェックします。存在しない場合は、新しいPENDINGシークレット・バージョンが生成されます。ただし、ステップがすでに存在する場合は、成功レスポンスが返されます。シークレット・メタデータ・フィールドを使用して、シークレット構造に関する追加の詳細を格納し、新しいシークレット・バージョンの作成時に同じ構造を使用することもできます。シークレット・サービスの自動生成機能を使用して、シークレット・コンテンツを自動生成することもできます。自動生成を使用すると、より汎用的な関数を記述できます。

CREATE_PENDING_VERSIONの疑似コード

pseudo code for createPendingVersion:
    Try to get the pending version
        If it succeeds, return success
        Else create a new secret version in "PENDING" state and then return success

サンプル・コード:

// Constructor
public void constructorClass() {
     secretsDpClient = SecretsClient.builder()
                    .region(region)
                    .configuration(configuration)
                    .build(auth_provider);
     secretsCpClient = VaultsClient.builder()
                    .region(region)
                    .configuration(configuration)
                    .build(auth_provider);
}
 
private String createNewPassword() {
    // This method must contains the logic to generate the new secret content
}
  
private SecretRotationOutput createNewPendingVersion(SecretRotationInput input) {
    // Make sure the given secret exist
    Secret secret = secretsCpClient.getSecret(GetSecretRequest.builder()
                    .secretId(input.getSecretId())
            .build()).getSecret();
  
    // Now try to get the pending secret version, if that fails, create a new one
    try {
        GetSecretBundleRequest getSecretBundleRequest = GetSecretBundleRequest.builder()
                .secretId(input.getSecretId())
                .stage(GetSecretBundleRequest.Stage.Pending)
                .build();
        secretsDpClient.getSecretBundle(getSecretBundleRequest);
        return SecretRotationOutput.builder()
                .responseCode(200)
                .returnMessage("Successfully retrieved the pending secret version")
                .build();
    } catch (BmcException bmc) {
        // Create a new pending version
        UpdateSecretDetails updateSecretDetails = secret.getIsAutoGenerationEnabled() ? UpdateSecretDetails.builder()
                .secretContent(Base64SecretContentDetails.builder()
                        .stage(SecretContentDetails.Stage.Pending)
                        .build())
                .build() : UpdateSecretDetails.builder()
                .secretContent(Base64SecretContentDetails.builder()
                        .content(createNewPassword())
                        .stage(SecretContentDetails.Stage.Pending)
                        .build())
                .build();
        secretsCpClient.updateSecret(UpdateSecretRequest.builder()
                .secretId(input.getSecretId())
                .updateSecretDetails(updateSecretDetails)
                .build()).getSecret();
        log.info("Successfully added a new version with 'PENDING' stage for secretId {}", input.getSecretId());
        return SecretRotationOutput.builder()
                .responseCode(200)
                .returnMessage("Pending version created successfully")
                .currentVersionNo(input.getVersionNo())
                .build();
    }
}

ステップ3: UPDATE_TARGET_SYSTEM

ターゲット・システムで保留中のシークレットを設定します。

• 入力: このメソッドは、currentVersionNoおよびsecretIdを受け入れます。
• 出力: このメソッドは、SecretRotationOutputも出力します。
• ロジック: このメソッドは、まずPENDINGシークレット・バージョンを使用してターゲット・システムへのログインを試行し、成功時に戻ります。これは、前の再試行が保留バージョンの昇格に失敗したが、バージョンがシステムに正常に適用された失敗シナリオも処理します。失敗した場合は、CURRENTシークレット・バージョンでログインしようとします。現在のシークレット・バージョンが成功すると、ターゲット・システムのユーザー・パスワードとしてPENDINGパスワードが設定されます。

UPDATE_TARGET_SYSTEMの疑似コード

Pseudo code for updateTargetSystem:
    Fetch the "PENDING" secret version
    Check the connection with Pending version
        It it works return success and the pending version number in the response
    Fetch the "CURRENT" secret version
    Check the connection with it
        If it works
            Update the target system with "PENDING" version
            Verify that target system is updated.
               if yes then return success and the pending version number in the response 
            else return the appropriate error code and the error message
        If not, return SecretRotationOutput with appropriate error code and message.

サンプル・コード:

private SecretRotationOutput updateTargetSystem(String secretId, Long currentVersionNo) {
    // Get the pending secret version
    SecretBundle pendingSecretBundle = secretsDpClient.getSecretBundle(GetSecretBundleRequest.builder()
                    .secretId(secretId)
                    .stage(GetSecretBundleRequest.Stage.Pending)
            .build()).getSecretBundle();
  
    // First try to login with the pending secret, if it succeeds, return
    Connection conn = getConnection(pendingSecretBundle);
    if(conn) {
        log.info("Updated the target system with pending version");
        return SecretRotationOutput.builder()
                    .responseCode(200)
                    .returnMessage("Successfully update target service")
                    .currentVersionNo(pendingSecretBundle.getVersionNumber())
                    .build();
    }
  
    SecretBundle currentSecretBundle = secretsDpClient.getSecretBundle(GetSecretBundleRequest.builder()
                    .versionNumber(currentVersionNo)
                    .secretId(secretId)
            .build()).getSecretBundle();
  
    conn = getConnection(currentSecretBundle);
    if(conn) {
        // Write logic to update the target system and check the connection with the updated password
    } else {
        log.error("Unable to log into system using the current version");
        return SecretRotationOutput.builder()
                .returnMessage("Unable to log into system using the current version")
                .responseCode(400)
                .build();
    }
}

ステップ4: PROMOTE_PENDING_VERSION

保留中のシークレットを現在のシークレットとしてマークして、ローテーションを終了します。

• 入力: このメソッドは、currentVersionNoおよびsecretIdを受け入れます。
• 出力: このメソッドは、SecretRotationOutputも出力します。
• ロジック: シークレット・サービスをコールして、PENDINGバージョンをCURRENTにプロモートします。UpdateRequestでは、CURRENTに昇格する必要があるバージョンを指定する必要があります。

PROMOTE_PENDING_VERSIONの疑似コード

pseudo code for promotePendingVersion:
    Make updateSecret Api call to promote the specified version to "CURRENT"

サンプル・コード:

private SecretRotationOutput promotePendingVersion(String secretId, Long versionNo) {
    try {
        Secret secret = secretsCpClient.updateSecret(UpdateSecretRequest.builder()
                .secretId(secretId)
                .updateSecretDetails(UpdateSecretDetails.builder()
                        .currentVersionNumber(versionNo)
                        .build())
                .opcRequestId(UUID.randomUUID().toString())
                .build()).getSecret();
        log.info("Successfully promoted the version number {} to 'CURRENT'", versionNo);
        return SecretRotationOutput.builder()
                .responseCode(200)
                .currentVersionNo(secret.getCurrentVersionNumber())
                .returnMessage("Successfully promoted the pending version")
                .build();
    } catch (BmcException bmc) {
        log.error("Fail to promote the pending version. SecretId: {}, pendingVersionNo: {}. {}", secretId, versionNo, bmc.getMessage());
        return SecretRotationOutput.builder()
                .returnMessage(bmc.getMessage())
                .responseCode(bmc.getStatusCode())
                .build();
    }
}