Regras de Segredo

Configure regras para segredos do vault que controlam seu uso.

Para obter informações sobre como configurar ou exibir regras, consulte Gerenciando Segredos do Vault. Quando você cria um segredo, pode configurar os seguintes tipos de regras:

• Regra de Reutilização de Segredo. Esse tipo de regra impede a reutilização do conteúdo do segredo em diferentes versões de um segredo.
• Regra de Expiração de Segredo. Este tipo de regra restringe quanto tempo o conteúdo do segredo de uma versão de segredo específica pode permanecer em uso. Essa regra também pode bloquear a recuperação do conteúdo do segredo para um segredo ou uma versão de segredo após a data de expiração configurada.

Talvez você queira configurar uma ou ambas as regras de segredo para estabelecer as melhores práticas de segurança. É possível melhorar seu estado de segurança atuando em segredos que não cumprem as regras ou, no caso de regras de expiração, que correm o risco de violá-las no devido tempo.

Os segredos são protegidos com as garantias de criptografia de um módulo de segurança de hardware (HSM) compatível com a certificação de segurança FIPS (Federal Information Processing Standards) 140-2, Nível de Segurança 3, que oferece suporte ao vault em que o segredo é criado e armazenado. No entanto, enquanto estiver na memória do aplicativo, um segredo poderá ser comprometido. A prevenção da reutilização de conteúdo de segredo por várias versões de segredo serve para limitar o escopo dos recursos afetados em caso de violação de segurança envolvendo as credenciais armazenadas. Quando somente um recurso utiliza o conteúdo do segredo de uma versão de segredo, esse recurso é o único que pode ser afetado. Você pode descontinuar uma versão de segredo e depois excluí-la, caso verifique que não pode mais usar o conteúdo do segredo dela com segurança. Você pode escolher se as regras de reutilização de segredo se aplicam até mesmo às versões de segredo excluídas.

Da mesma forma, a configuração de uma regra de expiração para especificar um intervalo de tempo pelo qual uma versão de segredo pode existir também ajuda a limitar o impacto de uma possível violação de segurança. Quanto mais tempo um conjunto de credenciais for usado, mais tempo um invasor terá para tentar acessá-las ou decifrá-las. A atualização frequente de um segredo com novo conteúdo de segredo ajuda a manter as credenciais mais seguras em relação aos usuários com intenção maliciosa. Ou, pelo menos, reduz o período durante o qual as credenciais comprometidas podem ser usadas ou reveladas inadvertidamente. Você pode configurar uma versão de segredo para expirar após 1 a 90 dias, mas o segredo também pode ter uma data e um tempo de expiração absoluto, de 1 a 365 dias após sua data de criação. Você pode configurar um desses valores ou ambos. Você também pode decidir se o conteúdo do segredo será bloqueado após a data de expiração.

O temporizador para uma regra de expiração de segredo é redefinido de acordo com o intervalo configurado. Não existe mecanismo para atualizar o conteúdo do segredo. É necessário rotacionar a versão do segredo manualmente.