Architecture Decision Record
← Eisimpleirean de chlàran co-dhùnaidh

Stòras dhìomhaireachdan

Susbaint:

Geàrr-chunntas

Cùis

Feumaidh sinn dìomhaireachdan a stòradh, leithid faclan-faire, iuchraichean prìobhaideach, tòcanan dearbhaidh, msaa.

Tha cuid de na dìomhaireachdan stèidhichte air an neach-cleachdaidh. Mar eisimpleir, tha ar leasaiche airson a bhith comasach air am fòn-làimhe a chleachdadh gus facal-faire airson seirbheis a lorg.

Tha cuid de na dìomhaireachdan stèidhichte air an t-siostam. Mar eisimpleir, feumaidh ar pìob lìbhrigidh leantainneach a bhith comasach air na teisteanasan airson ar n-òstadh neòil a lorg.

Co-dhùnadh

Bitwarden airson dìomhaireachdan stèidhichte air an neach-cleachdaidh

Vault by HashiCorp airson dìomhaireachdan stèidhichte air an t-siostam.

Staid

Air co-dhùnadh. Tha sinn fosgailte do roghainnean ùra mar a thig iad am bàrr.

Mion-fhiosrachadh

Barailean

Airson na h-adhbhair seo, agus ar staid làithreach, tha sinn a’ cur luach air goireasachd stèidhichte air an neach-cleachdaidh, leithid aplacaidean gluasadach so-chleachdadh.

  • Tha sinn airson dèanamh cinnteach à ruigsinneachd luath is furasta air an rathad, leithid do leasaiche a tha a’ dèanamh innleadaireachd earbsachd shiostaman air-chall.

  • Tha sinn airson a bhith comasach air cuid de dhìomhaireachdan a cho-roinn am measg dhaoine taghte, leithid sgioba.

Chan eil sinn a’ feuchainn ri fuasgladh a lorg airson aon solaraiche, leithid a h-uile dìomhaireachd a stòradh gu h-ìomlan air Amazon no Azure no Google.

Chan eil sinn ag iarraidh dòighean-obrach ad-hoc leithid “cuimhnich e” no “sgrìobh air nòta e” no “obraich a-mach do dhòigh fhèin air a stòradh”.

Tha ar modail tèarainteachd airson na h-adhbhair seo ceart gu leòr le bhith a’ cleachdadh reiceadairean COTS le deagh chliù, leithid innealan riaghlaidh fhaclan-faire SaaS.

Cuingeadan

An-dràsta tha sinn ag iarraidh rudeigin a tha furasta i.e. gun fheum air còd a sgrìobhadh, gun fheum air frithealaichean a stàladh, gun fheum air gealladh mòr a dhèanamh, gun fheum air a h-uile duine a dhèanamh coltach.

Seasamhan

Bheachdaich sinn air:

  1. Manaidsearan fhaclan-faire deiseil stèidhichte air an neach-cleachdaidh: LastPass, 1Password, Bitwarden, Dashlane, KeePass, pass, GPG, msaa.

  2. Manaidsearan fhaclan-faire COTS stèidhichte air an t-siostam: AWS KMS, Vault by HashiCorp, EnvKy, Secret Server by Thycotic, Devolutions Password Server, Confidant by Lyft.

  3. Dòighean-obrach stèidhichte air co-roinneadh: sgrìobhainn Google co-roinnte, no seanal Slack co-roinnte, no pasgan lìonraidh co-roinnte, msaa.

  4. Dòighean-obrach ad-hoc le teicneolas ìosal, leithid cuimhneachadh, nòta a sgrìobhadh, no a bhith an urra ri gach neach-cleachdaidh an dòigh fhèin a lorg.

Argamaid

Tha Bitwarden, LastPass, 1Password, agus Dashlane uile nan toraidhean COTS (commercial off-the-shelf).

  • Seòrsaichean fheartan coltach airson luchd-cleachdaidh, sgiobaidhean, buidhnean, msaa.

  • Comas desktop airson Windows agus Mac, agus comas gluasadach airson Android agus iOS.

  • Leudachain bhrabhsair airson Chrome agus Firefox, airson lìonadh fhoirmean fèin-obrachail, msaa.

Tha dà bhuannachd aig Bitwarden thairis air càch:

  • Tha Bitwarden stòr fosgailte, a tha a’ ciallachadh gun gabh an tèarainteachd lèirmheas co-aoisean agus gu bheil a’ chompanaidh cuideachd air a meas gu farsaing le luchd-leasachaidh a tha ag amas air tèarainteachd.

  • Tha naidheachdan goirid bho luchd-obrach bathar-bog a’ toirt cunntas air roghainn shusbainteach airson Bitwarden thairis air càch.

Eisimpleir àbhaisteach math de sgrìobhadh: https://jcs.org/2017/11/17/bitwarden

Làrach bhòtaidh taobh-ri-taobh àbhaisteach: https://stackshare.io/stackups/bitwarden-vs-dashlane

Cuiridh sinn dàil air KeyPass, pass, GPG, msaa. air sgàth gu bheil iom-fhillteachd a bharrachd ann. Tha iad sin uile a’ coimhead mar fhuasglaidhean math do luchd-cleachdaidh teicnigeach. Tha GPG a’ coimhead gu sònraichte math do luchd-cleachdaidh teicnigeach a tha ag iarraidh comasan thar-shiostaim stiùirichte le àithne.

Cuiridh sinn dàil air KMS air sgàth gu bheil glasadh aon-solaraiche ann.

Taghaidh sinn Vault airson feumalachdan stèidhichte air an t-siostam, air sgàth gu bheil na lèirmheasan iongantach adhartach, agus air sgàth gu bheil clàr-obrach sàr-mhath aig HashiCorp airson bathar-bog agus taic de àrd-chàileachd.

Cuiridh sinn veto air na dòighean-obrach co-roinnidh leithid tro sgrìobhainnean co-roinnte, seanalan co-roinnte, pasganan lìonraidh co-roinnte, msaa. Chan eil iad sin a’ toirt seachad na càileachdan tèarainteachd a tha sinn ag iarraidh.

Cuiridh sinn veto air na dòighean-obrach ad-hoc le teicneolas ìosal, oir tha sinn uile ag aontachadh nach e slighe fhad-ùine air adhart a th’ ann.

Builean

Dh’fhaodadh gum feum luchd-leasachaidh dìomhaireachdan a lorg ann an dà àite: Bitwarden airson ruigsinneachd stèidhichte air an neach-cleachdaidh, agus Vault airson ruigsinneachd stèidhichte air an t-siostam.

Co-cheangailte

Co-dhùnaidhean co-cheangailte

Feumaidh co-dhùnadh dè am frithealaiche CI/CD a bhith a’ gabhail a-steach dearbhadh comais airson dìomhaireachdan a ruigsinn.

Feumaidh sinn co-dhùnadh ciamar a riaghlas sinn na dìomhaireachdan, a thaobh poileasaidhean, cuairteachaidhean, buidhnean, msaa.

Riatanasan co-cheangailte

Bidh riatanasan co-cheangailte aig na dìomhaireachdan airson gèilleadh, sgrùdadh, agus toirt a-steach/toirt a-mach luchd-obrach HR.

Ealain-chruthan co-cheangailte

Tha sinn an dùil gum faod sinn cuid de dhìomhaireachdan às-phortadh gu caochladairean àrainneachd.

Prionnsabalan co-cheangailte

Furasta a thilleadh.

Furasta co-shìnte i.e. tha e furasta measgachadh de mhanaidsearan fhaclan-faire a chleachdadh.

Saor airson feuchainn i.e. tha deuchainn shaor ann agus gun ghealladh.

Notaichean

Notaichean measaidh an seo. Tha na notaichean uile nam beachdan poblach air diofar bhùird deasbaid devops.

Vault by HashiCorp

Is e Vault dìreach na tha thu ag iarraidh an seo.

Ach na cuir Vault dìreach gu cinneasachadh, stèidhich ann an àrainneachd deuchainn an toiseach e, oir faodaidh sgrìobhainnean HashiCorp a bhith gu math easbhaidheach ged a tha na toraidhean aca iongantach.

Lùb ionnsachaidh glè chas agus chan eil e suarach a stèidheachadh.

Tha an suidheachadh tòiseachaidh caran pian. Tha e fhathast fìor airidh air, ge-tà, agus bheir a’ choimhearsnachd taic dha gu leòr airson gum faigh thu seachad.

Sgrìobhainnean uamhasach ach tha tòrr stiùiridhean air-loidhne ann de dhaoine ga stèidheachadh agus ma chuireas tu beagan dhiubh còmhla bidh suidheachadh ag obair agad.

Thug an suidheachadh tòiseachaidh fiddling le na helm charts aca (vault agus consul). Ged as urrainn dhut gu teicnigeach tòrr back-ends eile a chleachdadh, chan eil mi gu dearbh gu dearbh a’ moladh sin. Faodaidh an back-end/consul a bhith glè bheag mura h-eil tòrr dàta agad ri stòradh.

Gu cinnteach fàs cofhurtail/eòlach air an CLI a chleachdadh, oir tha an GUI nas coltaiche ri portal dearbhaidh-bun-bheachd/sanasachd airson an tionndadh iomairt aca.

Tha an fhìrinn nach urrainn dhut “a lìonadh” dìreach na pian. Mar eisimpleir ma tha 5 raointean agad feumaidh tu gach raon a chur ris le làimh airson gach nì. Mar sin chan eil e coltach ri bhith a’ ro-mhìneachadh raointean airson roinn shònraichte, agus na raointean sin a lìonadh airson a h-uile nì san roinn sin, tha e nas coltaiche ri “bidh thu a’ gineadh a h-uile càil a h-uile uair”, a tha (nam bheachd-sa) na pian san tòin.

Is dòcha gum bi thu airson sùil a thoirt cuideachd air goldfish mar UI air mullach vault. Fàgaidh e gu math snog an sgioba agad fhaighinn air bòrd leis. Tha taisbeanadh aca cuideachd. 1. Stèidhich consul. 2. Stèidhich vault a’ comharrachadh consul. 3. Stèidhich goldfish a’ comharrachadh vault. 3. Stèidhich cron job air choireigin gus consul snapshot a ruith airson lethbhric.

LastPass

LastPass Teams. Bidh sinn ga chleachdadh, tha teamplaidean gnàthaichte aige, ACL, gun dad a dhìth nam bheachd-sa.

Chuir mi LastPass an gnìomh san eagrachadh agam agus bheir mi C+/B- dha. Is e a’ chùis as motha o chionn ghoirid dìth earbsachd. Anns na 90 latha mu dheireadh tha iomadh uair-a-thìde air a bhith ann far an deach vaults a èigneachadh gu modh far-loidhne. Chan eil seo air leth math don eagrachadh agam air sgàth gu bheil, gu litireil, 4,000+ facal-faire air an stòradh thar 20+ pasgan co-roinnte. Mar a shaoileas tu leis an uiread de fhaclan-faire tha co-dhiù beagan gan ùrachadh no gan cur ris gach latha. Tha plana DR againn ma mhaireas cùisean barrachd na uair no dhà: bidh sgriobt a’ soidhnigeadh agus a’ crioptachadh dump CSV den vault gach oidhche as urrainn a bhith air a thoirt a-steach gu keepass.

Tha LastPass air a bhith le blips gun aithris de sheirbheis lùghdaichte: tha clàradh a-steach ‘ag obair’ ach chan eil e a’ tarraing làraichean, feartan air thuaiream briste anns a’ phanail rianachd, agus gun a bhith a’ co-roinneadh iuchraichean gu ceart airson phasganan co-roinnte ùra aig an ìre as àirde. Tha neach-cleachdaidh ‘key push’/lethbhric sònraichte agam a tha anns a h-uile buidheann. Mar as trice cuiridh clàradh a-steach mar an neach-cleachdaidh sin ceart cùisean co-roinneadh iuchrach sam bith ach chan ann nuair a tha an t-seirbheis lùghdaichte a dh’aindeoin na tha an duilleag staid ag ràdh...

Airson amalachadh faodaidh e a bhith furasta ma tha ACLan ceart agad le modail as lugha sochair e.g. ma tha leughadh is sgrìobhadh agus leughadh a-mhàin aig neach-cleachdaidh air inntrigeadh no pasgan chan fhaigh iad ach ceadan leughadh a-mhàin. Gu mì-fhortanach chan eil ACLan na h-eagrachaidh agam air leth math agus mar sin chleachd mi API solarachaidh JSON agus ~500 loidhne de python air sgàth nàdar eisimeileach nan ceudan de ACLan againn gun a bhith a’ mapadh gu math dhan mhodail as lugha sochair. Thàinig mi gu bhith a’ faighinn a h-uile ACL san robh neach-cleachdaidh agus a’ dèanamh coiseachd eisimeileachd de sheòrsa.

Ma tha an structar ACL no buidhne agad air a thogail mar-thà le structar as lugha sochair nad inntinn bidh an inneal sioncronaidh AD/LDAP airson Windows ag obair gu math.

Cuir fios chun sgioba reicidh aca agus faodaidh iad deuchainn Iomairt nas fhaide a thoirt dhut. Dèan cinnteach gu bheil thu a’ tuigsinn a chuingeadan gu tur mus tarraing thu an inneal-brosnachaidh. Bha àireamh mhath de phian-fàis againn ach a bharrachd air cur-dheth no lùghdachaidhean taobh an fhrithealaiche tha e air a bhith air leth rèidh.

Bitwarden

Tha innealan snog timcheall Bitwarden (WebUI, CLI, Mobile, Desktop). Fèin-òstaichte agus an ìre mhath furasta a stèidheachadh. Sgrìobhainnean caran math agus inneal air a mholadh le PrivacyTools.

EnvKey

https://www.envkey.com/ Is e saas a th’ ann. Glè fhurasta a chur an gnìomh, amalachadh agus riaghladh.

Feartan:

  • Dìon iuchraichean API agus teisteanasan.

  • Cùm rèiteachadh sioncronaichte anns gach àite.

  • Rèiteachadh is riaghladh dhìomhaireachdan snasail, crioptaichte end-to-end.

  • Casg co-roinneadh mì-thèarainte agus sgaoileadh rèiteachaidh.

  • Amalaich ann am mionaidean.

Comasan:

  • Riaghail rèiteachadh agus ìrean ruigsinneachd airson d’ aplacaidean, àrainneachdan, agus sgiobaidhean gu lèir ann an aon àite.

  • Rèitich àrainneachd leasachaidh no frithealaiche sam bith le dìreach aon chaochladair àrainneachd.

Buannachdan:

  • Deagh dhuilleag-dhachaigh.

  • Value prop soilleir.

  • Aplacaid-lìn sàr-mhath a thaobh coltais.

  • Dàta eisimpleir sàr-mhath e.g. Algolia, AWS, Datadog, GitHub, Stripe, msaa.

  • Bhruidhinn mi leis an stèidheadair airson 30m mun chompanaidh, UI, msaa. Tha Dane coltach ri bhith fiosraichte, onarach mu na buannachdan/eas-bhuannachdan, agus com-pàirtiche ion-dhèanta.

  • Tha a’ chompanaidh gu bunaiteach na companaidh Y Combinator àbhaisteach, le 1 stèidheadair. Thog iad $120K sa 2018-01.

  • Tha am fòcas air a bhith a’ ruighinn fheartan iomairt, gu h-àraidh a’ gluasad bho òstadh-neòil EnvKey gu an dàrna cuid air-làrach no BYOC.

  • Slighe comasach air adhart a’ tòiseachadh le EnvKey airson furasta a chleachdadh, agus an uairsin nas fhaide air adhart (no co-shìnte) a’ cur Vault ris.

Confidant by Lyft

https://lyft.github.io/confidant/

Tha Confidant na sheirbheis riaghlaidh dhìomhaireachdan stòr fosgailte a bheir stòradh càirdeil do luchd-cleachdaidh agus ruigsinneachd air dìomhaireachdan ann an dòigh thèarainte, bho luchd-leasachaidh Lyft.

Dearbhadh KMS: Bidh Confidant a’ fuasgladh duilgheadas cearc-is-ugh an dearbhaidh le bhith a’ cleachdadh AWS KMS agus IAM gus leigeil le dreuchdan IAM tòcanan dearbhaidh tèarainte a ghineadh as urrainn Confidant a dhearbhadh. Bidh Confidant cuideachd a’ riaghladh ceadan KMS airson do dhreuchdan IAM, a leigeas leis na dreuchdan IAM tòcanan a ghineadh as urrainn a bhith air an cleachdadh airson dearbhadh seirbheis-gu-seirbheis, no airson teachdaireachdan crioptaichte a chur eadar seirbheisean.

Crioptachadh aig fois de dhìomhaireachdan tionndaidhte: Bidh Confidant a’ stòradh dhìomhaireachdan ann an dòigh append-only ann an DynamoDB, a’ gineadh iuchair dàta KMS sònraichte airson gach ath-sgrùdadh de gach dìomhaireachd, a’ cleachdadh crioptachd dearbhte shiometrach Fernet.

Eadar-aghaidh-lìn càirdeil do luchd-cleachdaidh airson dìomhaireachdan a riaghladh: Bheir Confidant eadar-aghaidh-lìn AngularJS a leigeas le luchd-cleachdaidh deireannach dìomhaireachdan, mapaidhean dìomhaireachdan gu seirbheisean agus eachdraidh atharrachaidhean a riaghladh gu furasta.

Devolutions Password Server

https://server.devolutions.net/

Dìon, riaghail, agus cùm sùil air ruigsinneachd air cunntasan agus seiseanan sochaireach.

Vault facail-faire farsaing, gu math tèarainte a leigeas leat smachd a chumail air ruigsinneachd air do chunntasan sochaireach, fhad ’s a tha e cuideachd a’ leasachadh lèirsinn lìonraidh iomlan do sysadmins agus a’ toirt seachad eòlas gun fhuaigheal do luchd-cleachdaidh deireannach.

Feartan: vault facail-faire buidhne meadhanaichte, vault prìobhaideach sònraichte don neach-cleachdaidh, manaidsear fhaclan-faire, in-stealladh teisteanasan, amalachadh Active Directory, smachd ruigsinneachd stèidhichte air dreuchd, dearbhadh dà-fhactar, deiseil airson iomairt, cuingeadan IP, comasan riaghlaidh, gineadair fhaclan-faire fèin-obrachail, ruigsinneachd aplacaid gluasadach, eachdraidh fhaclan-faire, aithisgean ruigsinneachd, rabhaidhean post-d.

  • a’ toirt taic do chrioptachadh dàta

  • a’ toirt taic do ioma-sgeamaichean Dearbhaidh a’ gabhail a-steach LDAP, O365, agus luchd-cleachdaidh Ionadail LE taic airson MFA bho ioma-thùsan

  • ioma-ionadan-tasgaidh/vaults le smachdan ruigsinneachd mionaideach airson ioma-sgiobaidhean

  • UI-lìn ùr-nodha

  • vaults teisteanasan is ceangail prìobhaideach airson creds/ceanglaichean pearsanta

  • aplacaidean gluasadach airson IOS/Android

  • loga sgrùdaidh airson gach inntrigeadh, cò/dè/cuin le brosnachadh roghainneil carson a tha iad a’ ruigsinn

  • teamplaidean gnàthaichte (ged a bheir iad taic do cheudan de sheòrsaichean cheanglaichean gu dùthchasach)

  • tòrr a bharrachd fheartan agus teachdaire thick Windows/Mac (Remote Desktop Manager) as urrainn dhut sioncronadh ris a leudaicheas na roghainnean gu mòr...ceanglaichean aon-bhriogadh

  • chan eil am prìsean uile cho dona - suas ri 15 neach-cleachdaidh is $500 sa bhliadhna airson an fhrithealaiche fhaclan-faire

Secret Server by Thycotic

https://thycotic.com/products/secret-server/

Feartan tionndaidh air-làrach:

  • Smachd iomlan air ar siostaman tèarainteachd end-to-end agus bun-structar

  • Cuir an gnìomh bathar-bog taobh a-staigh ionad-dàta air-làrach no eisimpleir neòil prìobhaideach fhèin

  • Coinnich ri dleastanasan laghail is riaghlaidh a dh’fheumas gach dàta is siostam a bhith air-làrach

Feartan tionndaidh neòil:

  • Leigidh modail bathar-bog-mar-sheirbheis dhut clàradh agus tòiseachadh sa bhad

  • So-sgèileachd sùbailte mar a dh’fhàsas tu

  • Smachdan agus ath-mhacachd air an lìbhrigeadh le Azure le SLA ùine 99.9%

Fios-air-ais luchd-cleachdaidh:

  • Chleachd sinn an toradh sin. Bha e cho furasta a sheachnadh agus tha na riaghailtean ag obair dìreach do dhaoine tapaidh. Faodaidh luchd-cleachdaidh leisg no gòrach a mhilleadh gu furasta ann an raon sgioba. Tha prìsean so-chòmhraidh nuair a bhruidhneas tu riutha.

  • Faodaidh tu a ruith a’ cleachdadh SQL express agus bogsa Win 7.

  • Saor.