Architecture Decision Record
← Samplaí de thaifid chinntí

Stóráil rún

Ábhar:

Achoimre

Saincheist

Ní mór dúinn rúin a stóráil, amhail focail faire, eochracha príobháideacha, comharthaí fíordheimhnithe, srl.

Tá cuid de na rúin dírithe ar an úsáideoir. Mar shampla, ba mhaith lenár bhforbróir a bheith in ann a ghuthán póca a úsáid chun focal faire seirbhíse a lorg.

Tá cuid de na rúin dírithe ar an gcóras. Mar shampla, ní mór dár bpíblíne seachadta leanúnaigh a bheith in ann dintiúir ár n-óstála scamall a lorg.

Cinneadh

Bitwarden do rúin dírithe ar an úsáideoir

Vault by HashiCorp do rúin dírithe ar an gcóras.

Stádas

Socraithe. Táimid oscailte do roghanna eile nua de réir mar a thagann siad chun cinn.

Sonraí

Toimhdeanna

Chun na críche seo, agus ár staid reatha, cuirimid luach ar áisiúlacht dírithe ar an úsáideoir, amhail aipeanna gluaiste inúsáidte.

  • Ba mhaith linn rochtain tapa éasca a chinntiú ar an gcosán, amhail d'fhorbróir atá ag déanamh innealtóireacht iontaofachta córais ar ghlaoch.

  • Ba mhaith linn a bheith in ann roinnt rún a roinnt i measc daoine roghnaithe, amhail foireann.

Níl muid ag iarraidh réiteach a dhéanamh d'aon soláthraí amháin, amhail na rúin go léir a stóráil go heisiach ar Amazon nó Azure nó Google.

Níl cur chuige ad-hoc uainn amhail “cuimhnigh air” nó “scríobh ar nóta é” nó “oibrigh amach do bhealach féin chun é a stóráil”.

Tá ár múnla slándála chun na críche seo ceart go leor le díoltóirí COTS measúla a úsáid, amhail uirlisí bainistíochta focal faire SaaS.

Srianta

Faoi láthair ba mhaith linn rud éigin atá éasca i.e. gan gá cód a scríobh, gan gá freastalaithe a shuiteáil, gan gá tiomantas mór a dhéanamh, gan gá gach duine a chaighdeánú.

Seasaimh

Bhreithnigh muid:

  1. Bainisteoirí focal faire réamhdhéanta dírithe ar an úsáideoir: LastPass, 1Password, Bitwarden, Dashlane, KeePass, pass, GPG, srl.

  2. Bainisteoirí focal faire COTS dírithe ar an gcóras: AWS KMS, Vault by HashiCorp, EnvKey, Secret Server by Thycotic, Devolutions Password Server, Confidant by Lyft.

  3. Cuir chuige dírithe ar roinnt: doiciméad roinnte Google, nó cainéal roinnte Slack, nó fillteán líonra roinnte, srl. a úsáid.

  4. Cuir chuige ad-hoc ísealteicneolaíochta, amhail cuimhneamh, nóta a scríobh, nó brath ar gach úsáideoir a gcur chuige féin a oibriú amach.

Argóint

Is táirgí tráchtála réamhdhéanta (COTS) iad Bitwarden, LastPass, 1Password, agus Dashlane ar fad.

  • Cineálacha gnéithe cosúla d'úsáideoirí, foirne, eagraíochtaí, srl.

  • Cumas deasc-ríomhaire do Windows agus Mac, agus cumas gluaiste d'Android agus iOS.

  • Síntí brabhsálaí do Chrome agus Firefox, d'uathlánú foirmeacha, srl.

Tá dhá bhuntáiste ag Bitwarden ar na cinn eile:

  • Tá Bitwarden foinse oscailte, rud a chiallaíonn gur féidir an tslándáil a athbhreithniú ag piaraí agus go bhfuil meas forleathan ar an gcuideachta ag forbróirí atá dírithe ar shlándáil.

  • Déanann scéalta oibrithe bogearraí cur síos ar rogha shuntasach do Bitwarden thar na cinn eile.

Sampla scríofa maith tipiciúil: https://jcs.org/2017/11/17/bitwarden

Suíomh vótála taobh le taobh tipiciúil: https://stackshare.io/stackups/bitwarden-vs-dashlane

Cuirimid KeyPass, pass, GPG, srl. ar athló toisc go bhfuil castacht bhreise ann. Tá cuma réitigh mhaith orthu ar fad d'úsáideoirí teicniúla. Tá cuma an-mhaith ar GPG d'úsáideoirí teicniúla ar mian leo cumais trasghnéitheacha dírithe ar ordú.

Cuirimid KMS ar athló toisc go bhfuil faoi ghlas soláthraí amháin ann.

Roghnaímid Vault do riachtanais dírithe ar an gcóras, toisc go bhfuil na léirmheasanna iontach dearfach, agus toisc go bhfuil taifead den scoth ag HashiCorp d'fhoirgneamh bogearraí agus tacaíochta ar an gcaighdeán is airde.

Cuirimid veto ar na cur chuige roinnte amhail trí dhoiciméid roinnte, cainéil roinnte, fillteáin líonra roinnte, srl. Ní sholáthraíonn siad seo na cáilíochtaí slándála atá uainn.

Cuirimid veto ar na cur chuige ad-hoc ísealteicneolaíochta, mar aontaíonn muid go léir nach cosán fadtéarmach ar aghaidh é.

Impleachtaí

D'fhéadfadh gá a bheith ag forbróirí rúin a rianú in dhá áit: Bitwarden le haghaidh rochtain dírithe ar an úsáideoir, agus Vault le haghaidh rochtain dírithe ar an gcóras.

Gaolmhar

Cinntí gaolmhara

Ní mór don chinneadh faoin bhfreastalaí CI/CD cruthúnas ar chumas rochtain a fháil ar rúin a áireamh.

Beidh orainn cinneadh a dhéanamh faoin gcaoi chun na rúin a bhainistiú, i dtéarmaí polasaithe, rothlaithe, eagraíochtaí, srl.

Riachtanais ghaolmhara

Beidh riachtanais ghaolmhara ag na rúin le haghaidh comhlíonta, iniúchta, agus ionduchtú/scaoileadh HR.

Déantáin ghaolmhara

Táimid ag súil go bhféadfaimis roinnt rún a easpórtáil chuig athróga timpeallachta.

Prionsabail ghaolmhara

Inaisiompaithe go héasca.

Comhthreomhar go héasca i.e. tá sé éasca éagsúlacht bainisteoirí focal faire a úsáid.

Saor le triail i.e. tá triail saor in aisce ann agus gan tiomantas.

Nótaí

Nótaí meastóireachta anseo. Is tuairimí poiblí iad na nótaí ar fad ar fhóraim plé devops éagsúla.

Vault by HashiCorp

Is é Vault go díreach an rud atá uait anseo.

Ná caith Vault díreach isteach i dtáirgeadh, áfach, cuir suas é i dtimpeallacht tástála ar dtús, mar is féidir go mbeidh doiciméadú HashiCorp easnamhach go leor fiú más iontach iad a dtáirgí.

Cuar foghlama an-ghéar agus níl sé éasca a chur suas.

Tá an socrú tosaigh beagán pianmhar. Is fiú go mór é, áfach, agus tacaíonn an pobal leis go maith go leor chun go n-éireoidh leat.

Doiciméid uafásacha ach tá go leor treoracha ar líne ó dhaoine a chuir suas é agus má chuireann tú cúpla ceann acu le chéile beidh socrú oibre agat.

Thóg socrú tosaigh iarracht le cairteacha helm (vault agus consul). Cé gur féidir go teicniúil go leor cúlchríocha eile a úsáid, ní mholaim é i ndáiríre i ndáiríre. Is féidir leis an gcúlchríoch/consul a bheith an-bheag mura bhfuil tonna sonraí le stóráil agat.

Cinnte bí compordach/eolach ag úsáid an CLI, mar tá an GUI níos cosúla le tairseach cruthúnais choincheapa/fógraíochta dá eagrán fiontair.

Is pian é nach féidir leat “líonadh suas” é. Mar shampla má tá 5 réimse agat ní mór duit gach réimse a chur leis de láimh do gach mír. Mar sin níl sé cosúil le go sainmhíníonn tú réimsí roimh ré do chatagóir ar leith, agus go líonann tú na réimsí sin do na míreanna go léir sa chatagóir sin, tá sé níos cosúla le “go ngineann tú gach rud gach uair”, rud atá (i m'intinn) ina phian sa tóin.

B'fhéidir gur mhaith leat féachaint ar goldfish freisin mar UI ar bharr vault. Déanann sé go leor níos deise do fhoireann a fháil ar bord leis. Tá taispeántas acu freisin. 1. Socraigh consul. 2. Socraigh vault ag díriú ar consul. 3. Socraigh goldfish ag díriú ar vault. 3. Socraigh jab cron éigin chun consul snapshot a rith le haghaidh cúltaca.

LastPass

LastPass Teams. Úsáidimid é, tá teimpléid shaincheaptha, ACL ann, rud ar bith in easnamh de réir mo thuairime.

Chuir mé LastPass i bhfeidhm i m'eagraíocht agus tugaim C+/B- dó. Is é an mhórfhadhb le déanaí ná easpa iontaofachta. Sna 90 lá seo caite bhí uaireanta iomadúla ann nuair a cuireadh na cuimrí i mód as líne. Níl sé seo idéalach do m'eagraíocht toisc go bhfuil, go litriúil, 4,000+ focal faire stóráilte thar 20+ fillteán roinnte. Mar is féidir leat a shamhlú le an oiread sin focal faire déantar nuashonrú nó cuirtear cúpla ceann ar a laghad gach lá. Tá plean DR againn má mhaireann fadhbanna níos faide ná uair nó dhó: síníonn agus criptíonn script dump CSV den chuimrí gach oíche ar féidir é a allmhairiú isteach i keepass.

Bhí blips gan tuairisciú de sheirbhís mhíchumasach ag LastPass: “oibríonn” logáil isteach ach ní tharraingíonn sé suíomhanna, tá gnéithe randamacha briste sa phainéal riaracháin, agus ní roinneann sé eochracha i gceart d'fhillteáin nua roinnte barrleibhéil. Tá úsáideoir ar leith “brú eochair”/cúltaca agam atá i ngach grúpa. De ghnáth réiteoidh logáil isteach mar an úsáideoir sin aon saincheisteanna roinnte eochair ach ní nuair atá an tseirbhís míchumasach beag beann ar a ndeir an leathanach stádais...

Maidir le comhtháthú is féidir é a bheith éasca má tá ACL cuí agat le múnla sainchumhachta is lú m.sh. má tá léamh & scríobh agus léamh amháin ag úsáideoir ar iontráil nó fillteán ní fhaigheann siad ach ceadanna léamh amháin. Ar an drochuair níl ACL m'eagraíochta ar an gceann is fearr mar sin d'úsáid mé an API soláthair JSON agus ~500 líne de python mar gheall ar nádúr spleách ár gcéadta ACL gan mapáil go maith ar an múnla sainchumhachta is lú. Fuair mé na ACL go léir a raibh úsáideoir iontu ar deireadh agus rinne mé siúlóid spleáchais de chineál éigin.

Má tá do struchtúr ACL nó grúpa tógtha cheana le struchtúr sainchumhachta is lú san áireamh oibreoidh an uirlis sioncrónaithe AD/LDAP do Windows go maith.

Déan teagmháil lena bhfoireann díolacháin agus is féidir leo triail Enterprise níos faide a shocrú duit. Bí cinnte go dtuigeann tú a theorainneacha go hiomlán sula nglacann tú an cinneadh. Bhí go leor pianta fáis againn ach seachas cur isteach nó lagú ar thaobh an fhreastalaí bhí sé thar a bheith réidh.

Bitwarden

Tá uirlisí deasa timpeall air ag Bitwarden (WebUI, CLI, Mobile, Desktop). Féinóstáilte agus measartha éasca a shocrú. Doiciméadú measartha maith agus uirlis a mholann PrivacyTools.

EnvKey

https://www.envkey.com/ Is saas é. An-éasca a chur i bhfeidhm, a chomhtháthú agus a bhainistiú.

Gnéithe:

  • Cosain eochracha API agus dintiúir.

  • Coinnigh cumraíocht sioncronaithe i ngach áit.

  • Bainistíocht chumraíochta agus rún cliste, criptithe ó cheann go ceann.

  • Cosc ar roinnt neamhdhaingean agus scaipeadh cumraíochta.

  • Comhtháthaigh i nóiméad.

Cumais:

  • Bainistigh cumraíocht agus leibhéil rochtana do d'aipeanna, timpeallachtaí, agus foirne go léir in aon áit amháin.

  • Cumraigh aon timpeallacht forbartha nó freastalaí le hathróg timpeallachta amháin.

Buntáistí:

  • Leathanach baile maith.

  • Togra luacha soiléir.

  • Aip ghréasáin den scoth go amhairc.

  • Sonraí sampla den scoth m.sh. Algolia, AWS, Datadog, GitHub, Stripe, srl.

  • Labhair mé leis an bhunaitheoir ar feadh 30 nóiméad faoin gcuideachta, UI, srl. Is cosúil go bhfuil Dane eolasach, macánta faoi na buntáistí/míbhuntáistí, agus comhpháirtí inmharthana.

  • Is cuideachta Y Combinator thipiciúil go bunúsach í an chuideachta, le bunaitheoir amháin. Mhéadaigh $120K in 2018-01.

  • Tá an fócas ar theacht ar ghnéithe fiontair, go háirithe ag bogadh ó óstáil scamall EnvKey go dtí ar an láithreán nó BYOC.

  • Cosán féideartha ar aghaidh ag tosú le EnvKey ar mhaithe le héascaíocht úsáide, ansin níos déanaí (nó i gcomhthráth) ag cur Vault leis.

Confidant by Lyft

https://lyft.github.io/confidant/

Is seirbhís bainistíochta rún foinse oscailte é Confidant a sholáthraíonn stóráil agus rochtain chairdiúil úsáideora ar rúin ar bhealach slán, ó fhorbróirí ag Lyft.

Fíordheimhniú KMS: Réitíonn Confidant fadhb na gcearc agus na huibhe fíordheimhnithe trí AWS KMS agus IAM a úsáid chun ligean do róil IAM comharthaí fíordheimhnithe slána a ghiniúint ar féidir le Confidant iad a fhíorú. Bainistíonn Confidant deontais KMS do do róil IAM freisin, rud a ligeann do róil IAM comharthaí a ghiniúint ar féidir iad a úsáid le haghaidh fíordheimhnithe seirbhíse-go-seirbhís, nó chun teachtaireachtaí criptithe a rith idir seirbhísí.

Criptiú ar scíth de rúin leagannaithe: Stórálann Confidant rúin ar bhealach append-only i DynamoDB, ag giniúint eochair sonraí KMS uathúil do gach athbhreithniú de gach rún, ag úsáid cripteagrafaíocht fhíordheimhnithe shiméadrach Fernet.

Comhéadan gréasáin cairdiúil úsáideora chun rúin a bhainistiú: Soláthraíonn Confidant comhéadan gréasáin AngularJS a ligeann d'úsáideoirí deiridh rúin, mapálacha rún go seirbhísí agus stair athruithe a bhainistiú go héasca.

Devolutions Password Server

https://server.devolutions.net/

Daingnigh, bainistigh, agus déan monatóireacht ar rochtain ar chuntais agus seisiúin phribhléideacha.

Cuimrí focal faire cuimsitheach, an-daingnithe a ligeann duit rochtain ar do chuntais phribhléideacha a rialú, agus infheictheacht líonra foriomlán a fheabhsú do riarthóirí córais agus taithí gan uaim a sholáthar d'úsáideoirí deiridh.

Gnéithe: cuimrí focal faire eagraíochta láraithe, cuimrí príobháideach sainiúil don úsáideoir, bainisteoir focal faire, instealladh dintiúir, comhtháthú Active Directory, rialú rochtana bunaithe ar róil, fíordheimhniú dhá fhachtóir, réidh don fhiontar, srianta IP, cumais bhainistíochta, gineadóir focal faire uathoibrithe, rochtain aip ghluaiste, stair focal faire, tuarascálacha rochtana, foláirimh ríomhphoist.

  • tacaíonn sé le criptiú sonraí

  • tacaíonn sé le scéimeanna Fíordheimhnithe iomadúla lena n-áirítear LDAP, O365, agus úsáideoirí Áitiúla LE tacaíocht do MFA ó fhoinsí iomadúla

  • taisclanna/cuimrí iomadúla le rialuithe rochtana mionghráinneacha d'fhoirne iomadúla

  • Web UI nua-aimseartha

  • cuimrí príobháideacha dintiúr agus nasc do dhintiúir/naisc phearsanta

  • aipeanna gluaiste d'iOS/Android

  • logaí iniúchta do gach iontráil, cé/cad/cathain le leid roghnach cén fáth a bhfuil siad ag rochtain

  • teimpléid inchustaimithe (cé go dtacaíonn siad le céadta cineál naisc go dúchasach)

  • tonna gnéithe eile agus cliant tiubh Windows/Mac (Remote Desktop Manager) ar féidir leat sioncrónú leis a leathnaíonn na roghanna go mór...naisc le cliceáil amháin

  • níl an praghsáil chomh dona sin - suas le 15 úsáideoir is $500 sa bhliain don fhreastalaí focal faire

Secret Server by Thycotic

https://thycotic.com/products/secret-server/

Gnéithe na leagan ar an láithreán:

  • Smacht iomlán ar do chórais agus bonneagar slándála ceann go ceann

  • Imlonnaigh bogearraí laistigh de d'ionad sonraí ar an láithreán nó de do chás scamall príobháideach fíorúil féin

  • Comhlíon oibleagáidí dlíthiúla agus rialála a éilíonn go bhfanfaidh gach sonra agus córas ar an láithreán

Gnéithe na leagan scamall:

  • Ligeann múnla bogearraí mar sheirbhís duit clárú agus tosú láithreach

  • Inscálaitheacht leaisteach de réir mar a fhásann tú

  • Rialuithe agus iomarcaíocht arna seachadadh ag Azure le SLA uptime 99.9%

Aiseolas úsáideora:

  • Bhíodh muid ag úsáid an táirge sin. Bhí sé chomh héasca sin a sheachaint agus ní oibríonn na rialacha ach do dhaoine cliste. Is féidir le húsáideoirí leisciúla nó dúramánta é a mhilleadh go héasca i limistéar foirne. Tá praghsanna idirbheartaithe nuair a labhraíonn tú leo.

  • Is féidir leat é a rith ag úsáid SQL express agus bosca Win 7.

  • Saor.