Gerenciamento de Segredos

Quando Usar

Projetar ou reparar recuperação de segredos, credenciais de CI, identidade de carga de trabalho, políticas de acesso e rotação para um sistema autorizado.

Entradas

Identifique nomes de segredos e proprietários, consumidores, ambientes, mecanismo de autenticação e a política de rotação/recuperação. Inspecione a configuração sem exibir valores.

Procedimento

1. Escolha o backend suportado existente: Vault, um gerenciador de segredos na nuvem ou o armazenamento de segredos protegido do host. Mantenha os limites do ambiente e os privilégios mínimos explícitos.
2. Para o Vault, leia references/vault-setup.md. O modo de desenvolvimento e os tokens raiz não são configuração de produção.
3. Para o GitHub Actions, leia references/github-secrets.md. Mantenha a validação de pull-request separada de trabalhos privilegiados. Forneça valores ao processo consumidor, nunca os interpole em código shell gerado ou os imprima para depuração.
4. Prefira identidade de carga de trabalho de curta duração quando o backend a suportar. Verifique o emissor, a audiência, as restrições de carga de trabalho/ambiente e o acesso negado antes de habilitar a recuperação.
5. Rotacione através de preparação, troca de consumidor, verificação e revogação de credencial antiga. Use o protocolo de rotação suportado pelo backend; as tentativas de repetição não devem deixar o banco de dados e o armazenamento de segredos com credenciais diferentes.
6. Inspecione logs, caminhos de erro, artefatos e relatórios de falha com marcadores de segredo sintéticos. Registre metadados como operação, principal e resultado em vez de valores.

Exemplo

Uma implantação precisa de uma credencial de banco de dados. O trabalho confiável a recupera através da identidade configurada e a passa apenas para o processo de migração. Teste o acesso ausente e uma identidade expirada em staging. Verifique se nenhuma credencial aparece na saída e se uma rotação falha deixa um estado de trabalho recuperável.

Verificação

• A recuperação autorizada é bem-sucedida; uma carga de trabalho ou ambiente diferente é negado.
• Credenciais ausentes falham de forma segura sem expor valores.
• Rotação e reversão são exercidas com dados sintéticos.
• Logs e artefatos não contêm marcadores de segredo, inclusive em caso de falha.
• Credenciais expostas são revogadas ou rotacionadas; simplesmente excluir sua entrada de log é insuficiente.

Limitações

A mascaramento não pode tornar os segredos de log seguros. Dados secretos podem persistir no estado da infraestrutura, em ambientes de subprocessos ou em backups; revise esses limites explicitamente. Não altere credenciais reais nem implante infraestrutura de segredos sem autorização.

Fontes

• Orientações de fluxo de trabalho seguro do GitHub
• Endurecimento de produção do Vault