Regras de Segredo

Saiba como configurar regras para segredos do vault que controlam seu uso.

Para obter informações sobre como configurar ou exibir regras, consulte Gerenciando Segredos. Quando você cria um segredo, pode configurar os seguintes tipos de regras:

• Regra de Reutilização de Segredo. Esse tipo de regra impede a reutilização do conteúdo do segredo em diferentes versões de um segredo.
• Regra de Expiração de Segredo. Este tipo de regra restringe quanto tempo o conteúdo do segredo de uma versão de segredo específica pode permanecer em uso. Esta regra também pode bloquear a recuperação do conteúdo do segredo para uma versão do segredo ou segredo após a data de expiração configurada.

Talvez você queira configurar uma ou ambas as regras de segredo para estabelecer as melhores práticas de segurança. Você pode melhorar sua postura de segurança agindo com base em segredos que não aderem às regras ou, no caso de regras de expiração, correm o perigo de violá-las no devido tempo.

Os segredos são protegidos com as garantias de criptografia de um módulo de segurança de hardware (HSM) compatível com a certificação de segurança FIPS (Federal Information Processing Standards) 140-2, Nível de Segurança 3, que oferece suporte ao vault em que o segredo é criado e armazenado. No entanto, enquanto estiver na memória do aplicativo, um segredo poderá ser comprometido. A prevenção da reutilização de conteúdo de segredo por várias versões de segredo serve para limitar o escopo dos recursos afetados em caso de violação de segurança envolvendo as credenciais armazenadas. Quando somente um recurso utiliza o conteúdo do segredo de uma versão de segredo, esse recurso é o único que pode ser afetado. Você pode descontinuar uma versão do segredo e depois excluí-la se descobrir que não pode mais usar com segurança seu conteúdo do segredo. Você pode escolher se as regras de reutilização de segredo se aplicam até mesmo às versões de segredo excluídas.

Da mesma forma, a configuração de uma regra da expiração para especificar um intervalo de tempo para quanto tempo uma versão do segredo pode existir também ajuda a limitar o impacto de uma possível violação da segurança. Quanto mais longo for o uso de um conjunto de credenciais, maior será o tempo que um invasor deverá tentar acessá-los ou decifrá-los. A atualização frequente de um segredo com novo conteúdo de segredo ajuda a manter as credenciais mais seguras em relação aos usuários com intenção maliciosa. Ou, pelo menos, reduz o período durante o qual as credenciais comprometidas podem ser usadas ou reveladas inadvertidamente. Você pode configurar uma versão de segredo para expirar após 1 a 90 dias, mas o segredo também pode ter uma data e um tempo de expiração absoluto, de 1 a 365 dias após sua data de criação. Você pode configurar um desses valores ou ambos. Você também pode decidir se o conteúdo do segredo será bloqueado após a data de expiração.

O timer da regra de expiração de um segredo é redefinido de acordo com o intervalo configurado. Não existe mecanismo para atualizar o conteúdo do segredo. Você deve girar a versão do segredo manualmente.