Architecture Decision Recordगुप्त जानकारी के भंडारन
सामग्री:
सारांश
समस्या
हमनी के गुप्त जानकारी, जइसे पासवर्ड, निजी कुंजी, प्रमाणीकरण टोकन, वगैरह, जमा करे के पड़ेला।
कुछ गुप्त जानकारी उपयोगकर्ता-उन्मुख बा। उदाहरण खातिर, हमनी के डेवलपर अपना मोबाइल फोन से कवनो सेवा के पासवर्ड खोजे में सक्षम होखे चाहेला।
कुछ गुप्त जानकारी सिस्टम-उन्मुख बा। उदाहरण खातिर, हमनी के निरंतर डिलीवरी पाइपलाइन के अपना क्लाउड होस्टिंग के प्रमाण-पत्र खोजे में सक्षम होखे के चाहीं।
फैसला
उपयोगकर्ता-उन्मुख गुप्त जानकारी खातिर Bitwarden
सिस्टम-उन्मुख गुप्त जानकारी खातिर Vault, HashiCorp के।
स्थिति
तय भइल। हमनी नया विकल्प जइसे-जइसे आवत जाई ओकरा खातिर खुला बानी।
ब्योरा
मान्यता
एह उद्देश्य खातिर, आ हमनी के मौजूदा स्थिति में, हमनी उपयोगकर्ता-उन्मुख सुविधा, जइसे इस्तेमाल करे-लायक मोबाइल ऐप, के कदर करेनी।
हमनी चलत-फिरत तेज आसान पहुँच पक्का करे चाहत बानी, जइसे ऑन-कॉल सिस्टम भरोसेमंदी इंजीनियरिंग करे वाला डेवलपर खातिर।
हमनी कुछ गुप्त जानकारी के चुनल लोग, जइसे एगो टीम, के बीच साझा करे में सक्षम होखे चाहत बानी।
हमनी एकल-प्रदाता खातिर हल करे के कोशिश नइखी करत, जइसे सब गुप्त जानकारी के केवल Amazon चाहे Azure चाहे Google पर जमा करल।
हमनी तदर्थ तरीका जइसे "इयाद राखीं" चाहे "एगो पर्ची पर लिख लीं" चाहे "जमा करे के अपना तरीका खुद खोजीं" ना चाहत बानी।
एह उद्देश्य खातिर हमनी के सुरक्षा मॉडल सम्मानित COTS विक्रेता, जइसे SaaS पासवर्ड प्रबंधन औजार, के इस्तेमाल करे में ठीक बा।
बंदिश
अबहिन हमनी कुछ अइसन चाहत बानी जे आसान होखे यानी कोड लिखे के जरूरत नइखे, सर्वर इंस्टॉल करे के जरूरत नइखे, बड़ प्रतिबद्धता के जरूरत नइखे, सबके मानकीकृत करे के जरूरत नइखे।
रुख
हमनी विचार कइनी:
उपयोगकर्ता-उन्मुख तैयार-बने पासवर्ड प्रबंधक: LastPass, 1Password, Bitwarden, Dashlane, KeePass, pass, GPG, वगैरह।
सिस्टम-उन्मुख COTS पासवर्ड प्रबंधक: AWS KMS, Vault, HashiCorp के, EnvKey, Secret Server, Thycotic के, Devolutions Password Server, Confidant, Lyft के।
साझा करे-उन्मुख तरीका: साझा Google दस्तावेज, चाहे साझा Slack चैनल, चाहे साझा नेटवर्क फोल्डर, वगैरह इस्तेमाल करल।
कम-तकनीक तदर्थ तरीका, जइसे इयाद राखल, पर्ची लिखल, चाहे हर उपयोगकर्ता पर अपना तरीका निकाले के भरोसा करल।
तर्क
Bitwarden, LastPass, 1Password, आ Dashlane सब वाणिज्यिक तैयार-बने उत्पाद हवे।
उपयोगकर्ता, टीम, संगठन, वगैरह खातिर एक जइसन तरह के फीचर।
Windows आ Mac खातिर डेस्कटॉप क्षमता, आ Android आ iOS खातिर मोबाइल क्षमता।
Chrome आ Firefox खातिर ब्राउजर एक्सटेंशन, स्वचालित फॉर्म भरे वगैरह खातिर।
Bitwarden के बाकी पर दू फायदा बा:
Bitwarden ओपन सोर्स ह, मतलब सुरक्षा के सहकर्मी समीक्षा हो सकेला आ कंपनी के सुरक्षा-उन्मुख डेवलपर लोग व्यापक रूप से सराहेला।
सॉफ्टवेयर कर्मी लोग के किस्सा-कहानी बाकी के मुकाबले Bitwarden के पक्ष में महत्त्वपूर्ण पसंद बतावेला।
एगो आम नीमन उदाहरण लेख: https://jcs.org/2017/11/17/bitwarden
एगो आम अगल-बगल मतदान साइट: https://stackshare.io/stackups/bitwarden-vs-dashlane
हमनी KeyPass, pass, GPG, वगैरह के टाल दे रहल बानी काहेकि अतिरिक्त जटिलता बा। ई सब तकनीकी उपयोगकर्ता खातिर नीमन समाधान लागेला। GPG खास कर ओह तकनीकी उपयोगकर्ता खातिर बहुत नीमन लागेला जे क्रॉस-सिस्टम आदेश-उन्मुख क्षमता चाहेलें।
हमनी KMS के टाल दे रहल बानी काहेकि एमे एकल-प्रदाता लॉक-इन बा।
हमनी सिस्टम-उन्मुख जरूरत खातिर Vault चुनेनी, काहेकि समीक्षा अचंभित करे वाला सकारात्मक बा, आ काहेकि HashiCorp के शीर्ष-गुणवत्ता सॉफ्टवेयर आ समर्थन के उत्कृष्ट रिकॉर्ड बा।
हमनी साझा करे वाला तरीका, जइसे साझा दस्तावेज, साझा चैनल, साझा नेटवर्क फोल्डर, वगैरह के जरिए, के वीटो करेनी। ई ऊ सुरक्षा गुण ना देला जे हमनी चाहत बानी।
हमनी तदर्थ कम-तकनीक तरीका के वीटो करेनी, काहेकि हमनी सब सहमत बानी कि ई लमहर समय के रास्ता नइखे।
असर
डेवलपर के गुप्त जानकारी के दू जगह ट्रैक करे के पड़ सकेला: उपयोगकर्ता-उन्मुख पहुँच खातिर Bitwarden, आ सिस्टम-उन्मुख पहुँच खातिर Vault।
संबंधित
संबंधित फैसला
कवन CI/CD सर्वर के फैसला में गुप्त जानकारी तक पहुँचे के क्षमता के सबूत शामिल होखे के चाहीं।
हमनी के तय करे के पड़ी कि गुप्त जानकारी के कइसे संभालल जाए, नीति, घुमावल, संगठन, वगैरह के लिहाज से।
संबंधित जरूरत
गुप्त जानकारी के अनुपालन, ऑडिटिंग, आ HR ऑनबोर्डिंग/ऑफबोर्डिंग खातिर संबंधित जरूरत होई।
संबंधित आर्टिफैक्ट
हमनी उम्मीद करत बानी कि हमनी कुछ गुप्त जानकारी के एनवायरनमेंट वेरिएबल में निर्यात कर सकीले।
संबंधित सिद्धांत
आसानी से पलटे-लायक।
आसानी से समानांतर यानी पासवर्ड प्रबंधक के विविधता इस्तेमाल करल आसान बा।
आजमावे में सस्ता यानी मुफ्त परीक्षण बा आ कवनो प्रतिबद्धता नइखे।
टिप्पणी
मूल्यांकन के टिप्पणी इहाँ। टिप्पणी सब अलग-अलग devops चर्चा मंच पर सार्वजनिक टिप्पणी हवे।
Vault, HashiCorp के
Vault ठीक ऊहे ह जे रउआ के इहाँ चाहीं।
बस Vault के प्रोडक्शन में मत डालीं, पहिले एगो परीक्षण माहौल में खड़ा करीं, काहेकि HashiCorp के दस्तावेज काफी कमजोर हो सकेला भले उनकर उत्पाद शानदार होखे।
बहुत खड़ा सीखे के कठिनाई ह आ खड़ा करल सामान्य नइखे।
शुरुआती सेटअप तनी झंझट वाला बा। फेर भी ई पूरा तरी से सही बा, आ समुदाय एकरा के काफी नीमन से समर्थन करी जेसे रउआ काम चला लेब।
भयानक दस्तावेज लेकिन ऑनलाइन ढेर मार्गदर्शिका बा जेमें लोग एकरा के सेट कइले बाड़ें आ अगर रउआ ओमे से कुछ के मिला लेब त रउआ के काम करे वाला सेटअप मिल जाई।
शुरुआती सेटअप में उनकर helm chart (vault आ consul) के साथे उलझे के पड़ल। भले तकनीकी रूप से रउआ बहुत आउर बैक-एंड इस्तेमाल कर सकीले, हम सचमुच सचमुच एकर सिफारिश ना करेनी। अगर रउआ लग जमा करे खातिर बहुत डेटा नइखे त बैक-एंड/consul बहुत छोट हो सकेला।
निश्चित रूप से CLI इस्तेमाल करे में सहज/परिचित होखीं, काहेकि GUI उनकर उद्यम संस्करण खातिर सबूत-ऑफ-कॉन्सेप्ट/विज्ञापन पोर्टल जइसन जादा बा।
ई तथ्य कि रउआ बस एकरा के "भर" ना सकीले, परेशानी वाला बा। उदाहरण खातिर अगर रउआ लग 5 फील्ड बा त रउआ हर आइटम खातिर हर फील्ड हाथ से जोड़े के पड़ी। एहसे ई ऐसा नइखे कि रउआ कवनो खास श्रेणी खातिर फील्ड पहिले से परिभाषित करीं, आ ऊ श्रेणी के सब आइटम खातिर ऊ फील्ड भरीं, ई जादा "रउआ हर बेर सब कुछ बनावेनी" जइसन बा, जे (हमरा खयाल में) एकदम झंझट ह।
रउआ vault के ऊपर UI के रूप में goldfish भी देखे चाहेब। रउआ टीम के एकरा संगे जोड़े के काफी नीमन बना देला। उनके लग डेमो भी बा। 1. consul सेट करीं। 2. consul के ओर इशारा करत vault सेट करीं। 3. vault के ओर इशारा करत goldfish सेट करीं। 3. बैकअप खातिर consul snapshot चलावे वाला कुछ cron job सेट करीं।
LastPass
LastPass Teams. हमनी एकरा के इस्तेमाल करेनी, एकरा लग अनुकूलित टेम्पलेट, ACL बा, हमरा हिसाब से कुछ गायब नइखे।
हम अपना संगठन में LastPass लागू कइनी आ एकरा के C+/B- देत बानी। हाल के सबसे बड़ मुद्दा भरोसेमंदी के कमी बा। पिछला 90 दिन में कई घंटा अइसन रहे जब वॉल्ट के जबरदस्ती ऑफलाइन मोड में डाल दिहल गइल। ई हमरा संगठन खातिर आदर्श नइखे काहेकि हमनी लग, सचमुच, 20+ साझा फोल्डर में 4,000+ पासवर्ड जमा बा। जइसन रउआ कल्पना कर सकीले एतना पासवर्ड के संगे कम से कम कुछ रोज अपडेट चाहे जोड़ल जाला। हमनी लग आपदा-बहाली योजना बा अगर समस्या एक-दू घंटा से जादा चलेला: एगो स्क्रिप्ट हर रात वॉल्ट के CSV डंप पर हस्ताक्षर करेला आ एन्क्रिप्ट करेला जेकरा के keepass में आयात कइल जा सकेला।
LastPass लग सेवा के गिरावट के अनरिपोर्टेड झलक रहल बा: लॉगिन 'काम' करेला लेकिन साइट ना खींचेला, एडमिन पैनल में बेतरतीब फीचर टूटल बा, आ नया शीर्ष-स्तर साझा फोल्डर खातिर कुंजी ठीक से साझा ना करेला। हमरा लग एगो खास 'key push'/बैकअप उपयोगकर्ता बा जे हर समूह में बा। आम तौर पर ओह उपयोगकर्ता के रूप में लॉग इन करे से कवनो कुंजी साझा करे के समस्या ठीक हो जाला लेकिन तब ना जब सेवा गिरल बा चाहे स्थिति पन्ना जे भी कहे...
इंटीग्रेशन खातिर ई आसान हो सकेला अगर रउआ लग न्यूनतम विशेषाधिकार मॉडल संगे ठीक ACL बा जइसे अगर कवनो उपयोगकर्ता लग कवनो प्रविष्टि चाहे फोल्डर पर पढ़ल आ लिखल आ केवल पढ़ल दूनो बा त उनके बस केवल पढ़ल अनुमति मिलेला। दुर्भाग्य से हमरा संगठन के ACL सबसे नीमन नइखे, एहसे हम JSON प्रोविजनिंग API आ ~500 लाइन python इस्तेमाल कइनी काहेकि हमनी के सैकड़न ACL के निर्भर स्वभाव न्यूनतम विशेषाधिकार मॉडल पर ठीक से मैप ना होला। हम पूरा तरी से उपयोगकर्ता जेतना ACL में बा ऊ सब लेके आइनी आ एक तरह के निर्भरता-चलावल कइनी।
अगर रउआ ACL चाहे समूह बनावट पहिलहीं न्यूनतम विशेषाधिकार बनावट के ध्यान में राख के बनल बा त Windows खातिर AD/LDAP सिंक औजार नीमन से काम करी।
उनके बिक्री टीम से संपर्क करीं आ ऊ रउआ के लमहर Enterprise परीक्षण से जोड़ सकेले। निर्णय लेवे से पहिले पक्का करीं कि रउआ एकर सीमा के पूरा तरी से समझत बानी। हमनी के बढ़त-पीड़ा काफी रहे लेकिन सर्वर-साइड के रुकावट चाहे बाधा के छोड़ के ई बहुत सहज रहल बा।
Bitwarden
Bitwarden के आसपास नीमन औजार बा (WebUI, CLI, मोबाइल, डेस्कटॉप)। खुद-होस्ट कइल जा सकेला आ सेट करे में काफी आसान बा। काफी नीमन दस्तावेज आ PrivacyTools द्वारा सिफारिश कइल औजार।
EnvKey
https://www.envkey.com/ एगो saas ह। लागू करे, इंटीग्रेट करे, आ संभाले में सचमुच आसान।
फीचर:
API कुंजी आ प्रमाण-पत्र के सुरक्षित करीं।
कॉन्फिगरेशन के हर जगह सिंक में राखीं।
स्मार्ट, एंड-टू-एंड एन्क्रिप्टेड कॉन्फिगरेशन आ गुप्त जानकारी प्रबंधन।
असुरक्षित साझा आ कॉन्फिग के फैलाव रोकीं।
मिनट में इंटीग्रेट करीं।
क्षमता:
अपना सब ऐप, माहौल, आ टीम खातिर कॉन्फिगरेशन आ पहुँच स्तर एक जगह संभालीं।
कवनो भी विकास चाहे सर्वर माहौल के सिरिफ एगो एनवायरनमेंट वेरिएबल से कॉन्फिगर करीं।
फायदा:
नीमन होम पेज।
साफ मूल्य प्रस्ताव।
दृश्य रूप से उत्कृष्ट वेब ऐप।
बढ़िया उदाहरण डेटा जइसे Algolia, AWS, Datadog, GitHub, Stripe, वगैरह।
कंपनी, UI, वगैरह के बारे में संस्थापक से 30 मिनट बात कइनी। Dane जानकार लागेला, फायदा/नुकसान के बारे में ईमानदार लागेला, आ एगो व्यावहारिक साथी लागेला।
कंपनी मूल रूप से एगो आम Y Combinator कंपनी ह, 1 संस्थापक संगे। 2018-01 में $120K जुटवलस।
फोकस उद्यम फीचर तक पहुँचे पर बा, खास कर EnvKey क्लाउड-होस्टिंग से या त ऑन-प्रिम चाहे BYOC में जाए पर।
संभावित आगे के रास्ता उपयोग में आसानी खातिर EnvKey से शुरू करे के, फेर बाद में (चाहे समानांतर) Vault जोड़े के।
Confidant, Lyft के
https://lyft.github.io/confidant/
Confidant एगो ओपन सोर्स गुप्त जानकारी प्रबंधन सेवा ह जे Lyft के डेवलपर लोग से, सुरक्षित तरीका से गुप्त जानकारी तक उपयोगकर्ता-अनुकूल भंडारन आ पहुँच देला।
KMS प्रमाणीकरण: Confidant प्रमाणीकरण के मुर्गी-अंडा समस्या के AWS KMS आ IAM इस्तेमाल करके हल करेला ताकि IAM भूमिका सुरक्षित प्रमाणीकरण टोकन बना सके जेकरा के Confidant सत्यापित कर सकेला। Confidant रउआ IAM भूमिका खातिर KMS अनुदान भी संभालेला, जे IAM भूमिका के अइसन टोकन बनावे देला जेकरा के सेवा-से-सेवा प्रमाणीकरण खातिर इस्तेमाल कइल जा सकेला, चाहे सेवा के बीच एन्क्रिप्टेड संदेश पास करे खातिर।
संस्करणित गुप्त जानकारी के आराम में एन्क्रिप्शन: Confidant गुप्त जानकारी के DynamoDB में केवल-जोड़ेवाला तरीका से जमा करेला, Fernet सममित प्रमाणित क्रिप्टोग्राफी इस्तेमाल करके हर गुप्त जानकारी के हर संशोधन खातिर एगो अनोखा KMS डेटा कुंजी बनावत।
गुप्त जानकारी संभाले खातिर उपयोगकर्ता-अनुकूल वेब इंटरफेस: Confidant एगो AngularJS वेब इंटरफेस देला जे अंतिम उपयोगकर्ता के गुप्त जानकारी, सेवा पर गुप्त जानकारी के मैपिंग, आ बदलाव के इतिहास आसानी से संभाले देला।
Devolutions Password Server
https://server.devolutions.net/
विशेषाधिकार वाला खाता आ सत्र तक पहुँच के सुरक्षित करीं, संभालीं, आ निगरानी करीं।
एगो व्यापक, अत्यधिक-सुरक्षित पासवर्ड वॉल्ट जे रउआ के अपना विशेषाधिकार वाला खाता तक पहुँच नियंत्रित करे देला, संगे-संगे sysadmin खातिर कुल नेटवर्क दृश्यता भी सुधारेला आ अंतिम उपयोगकर्ता खातिर निर्बाध अनुभव देला।
फीचर: केंद्रीकृत संगठन पासवर्ड वॉल्ट, उपयोगकर्ता-विशेष निजी वॉल्ट, पासवर्ड प्रबंधक, प्रमाण-पत्र इंजेक्शन, Active Directory इंटीग्रेशन, भूमिका-आधारित पहुँच नियंत्रण, दो-कारक प्रमाणीकरण, उद्यम-तैयार, IP प्रतिबंध, प्रबंधन क्षमता, स्वचालित पासवर्ड जनरेटर, मोबाइल ऐप पहुँच, पासवर्ड इतिहास, पहुँच रिपोर्ट, ईमेल चेतावनी।
डेटा एन्क्रिप्शन के समर्थन करेला
LDAP, O365, आ स्थानीय उपयोगकर्ता समेत कई प्रमाणीकरण योजना के समर्थन करेला, कई स्रोत से MFA के समर्थन के साथे
कई टीम खातिर सूक्ष्म पहुँच नियंत्रण संगे कई रिपोजिटरी/वॉल्ट
आधुनिक वेब UI
निजी प्रमाण-पत्र/कनेक्शन खातिर निजी प्रमाण-पत्र आ कनेक्शन वॉल्ट
iOS/Android खातिर मोबाइल ऐप
हर प्रविष्टि खातिर ऑडिट लॉग, के/का/कब, आ ऊ लोग काहे पहुँच रहल बाड़ें एकर वैकल्पिक सवाल संगे
अनुकूलन-योग्य टेम्पलेट (भले ऊ लोग सैकड़न कनेक्शन प्रकार मूल रूप से समर्थित करेले)
ढेर आउर फीचर आ एगो Windows/Mac मोटा क्लाइंट (Remote Desktop Manager) जेकरा के रउआ सिंक कर सकीले जे विकल्प के बहुत बढ़ावेला...एक-क्लिक कनेक्शन
कीमत उतना खराब नइखे - 15 उपयोगकर्ता तक पासवर्ड सर्वर खातिर $500 साल
Secret Server, Thycotic के
https://thycotic.com/products/secret-server/
ऑन-प्रिमाइसेस संस्करण के फीचर:
अपना एंड-टू-एंड सुरक्षा प्रणाली आ इन्फ्रास्ट्रक्चर पर पूरा नियंत्रण
सॉफ्टवेयर अपना ऑन-प्रिमाइसेस डेटा सेंटर चाहे अपना वर्चुअल प्राइवेट क्लाउड इंस्टेंस में डिप्लॉय करीं
कानूनी आ नियामक दायित्व के पूरा करीं जे सब डेटा आ प्रणाली के ऑन-प्रिमाइसेस रहे के मांग करेला
क्लाउड संस्करण के फीचर:
सेवा-के-रूप-में-सॉफ्टवेयर मॉडल रउआ के साइन अप करे आ तुरंत शुरू करे देला
जइसे-जइसे रउआ बढ़त बानी लोचदार पैमाना बढ़ावे के क्षमता
99.9% अपटाइम SLA संगे Azure द्वारा दिहल नियंत्रण आ अतिरेक
उपयोगकर्ता प्रतिक्रिया:
हमनी ऊ उत्पाद इस्तेमाल करत रहनी। ई एतना आसानी से बायपास हो गइल आ नियम बस होशियार लोग खातिर काम करेला। आलसी चाहे मूर्ख उपयोगकर्ता एकरा के टीम क्षेत्र में आसानी से बिगाड़ सकेले। उनके साथे बात करे घरी कीमत मोलभाव-योग्य बा।
रउआ एकरा के SQL express आ Win 7 बक्सा इस्तेमाल करके चला सकीले।
सस्ता।