Architecture Decision Record
← Ensamplow kovskrif dyberth

Gwithva kevrinyow

Kenwyns:

Berrskrif

Kudyn

Res yw dhyn gwitha kevrinyow, avel ger-tremenow, alhwedhyow privedh, tokynnow gwiryans, hag yn.

Nebes a'n kevrinyow yw usyer-ledhys. Rag ensampel, agan displegyor a vynn bos abyl dhe usya y deylu symudek dhe hwilas ger-tremena dhe wassanath.

Nebes a'n kevrinyow yw system-ledhys. Rag ensampel, agan pibell dyllans pesys a res bos abyl dhe hwilas an dethol rag agan whaleth kommol.

Dyberth

Bitwarden rag kevrinyow usyer-ledhys

Vault gans HashiCorp rag kevrinyow system-ledhys.

Studh

Dewisys. Ni yw ygor dhe dhewisyow aral nowydh pan dheuns.

Manylyow

Tybyansow

Rag an mynnans ma, ha'gan studh lemmyn, ni a brys hegarder usyer-ledhys, avel appys symudek usadow.

  • Ni a vynn surhe hedhes skon, es war an fordh, avel rag displegyor ow tisplegya injynyrnans fydhekter system war-alwes.

  • Ni a vynn bos abyl dhe rannas nebes kevrinyow ynter tus dewisys, avel tim.

Ny strivyn ni dhe dhisolva rag unn-brofyer, avel gwitha oll an kevrinyow yn unnik war Amazon po Azure po Google.

Ny vynnyn ni fordhow ad-hoc avel "y govha" po "y skrifa war nota" po "kavos dha fordh dha honan dhe'n gwitha".

Agan model sawder rag an mynnans ma yw lowen gans usya gwerthoryon COTS gordhys yn da, avel toulys rewlyans ger-tremena SaaS.

Lettyansow

Lemmyn ni a vynn neppyth es, hen yw nyns eus othom dhe skrifa kod, nyns eus othom dhe staliya servyers, nyns eus othom dhe wul ymrians bras, nyns eus othom dhe savonya pubonan.

Savyow

Ni a gemeras yn kyfrif:

  1. Rewlyoryon ger-tremena parys-dhe-brena usyer-ledhys: LastPass, 1Password, Bitwarden, Dashlane, KeePass, pass, GPG, hag yn.

  2. Rewlyoryon ger-tremena COTS system-ledhys: AWS KMS, Vault gans HashiCorp, EnvKey, Secret Server gans Thycotic, Devolutions Password Server, Confidant gans Lyft.

  3. Fordhow rannans-ledhys: ow usya dokument Google rannys, po kanel Slack rannys, po kuntlas ros rannys, hag yn.

  4. Fordhow ad-hoc teknologieth-izel, avel kovha, skrifa nota, po pleg orth pub usyer dhe gavos y fordh y honan.

Argument

Bitwarden, LastPass, 1Password, ha Dashlane yw oll produktys parys-dhe-brena kenwerthek.

  • Sortow haval a nodhow rag usyoryon, timyow, kowethasow, hag yn.

  • Gallus desktop rag Windows ha Mac, ha gallus symudek rag Android ha iOS.

  • Ystynnansow peurell rag Chrome ha Firefox, rag lenwel awtomatek furvyow, hag yn.

Bitwarden a'n jeves dhew a-dhesk a-ugh an re erell:

  • Bitwarden yw ygor-fenten, a styr may hyll an sawder bos dehwelys gans hevelepow ha y fo an kowethas gorthys yn ledan gans displegyoryon sawder-ledhys.

  • Hwedhlow gans gweythoryon medhelweyth a displeg a-ugh dewis Bitwarden erbynn an re erell.

Skrif dhe-ves ensampel ollgemmyn da: https://jcs.org/2017/11/17/bitwarden

Gwiasva votya a-ves-ha-ves ollgemmyn: https://stackshare.io/stackups/bitwarden-vs-dashlane

Ni a dhehwelyn KeyPass, pass, GPG, hag yn. awos y fydh kompleksyta ychwanek. Oll an re ma a seem solusyons da rag usyoryon teknegek. GPG a seem arbennik da rag usyoryon teknegek a vynn gallusow ordenn-ledhys a-dreus systemow.

Ni a dhehwelyn KMS awos y'n jeves kelmys dhe unn-brofyer.

Ni a dhewis Vault rag othommow system-ledhys, awos an dasbrofyansow yw souprijus poesek, ha awos HashiCorp a'n jeves rekord ragorek a vedhelweyth ha skoodh a ansawdh uhelha.

Ni a wethra an fordhow rannans avel dre dhokumentys rannys, kanalow rannys, kuntlasow ros rannys, hag yn. An re ma ny re an nodhow sawder a vynnyn.

Ni a wethra an fordhow ad-hoc teknologieth-izel, awos ni oll a gonsent nyns yw hent hirdermyn.

Sewyansow

Martesen res vydh dhe zisplegyoryon treckya kevrinyow yn dhew le: Bitwarden rag hedhes usyer-ledhys, ha Vault rag hedhes system-ledhys.

Kelmys

Dybyrthow kelmys

An dyberth a pyth servyer CI/CD a dal keworra previans a ngallus rag hedhes kevrinyow.

Res vydh dhyn dybarth fatel rewlya an kevrinyow, yn termyn polici, trelyansow, kowethasow, hag yn.

Othommow kelmys

An kevrinyow a'n jevydh othommow kelmys rag kesstowans, awdytyans, ha dallethyans/dehwethyans AD.

Arteffaktys kelmys

Ni a wayt may hwrewn eksportya nebes kevrinyow dhe chanjyadow kerghynnedh.

Prensiplys kelmys

Es dhe dasfyna.

Es kesstrif hen yw es dhe usya lies rewlyer ger-tremena.

Kuv dhe assaya hen yw yma previans rydh ha heb ymrians.

Notennow

Notennow jydjyans omma. An notennow yw oll kehesow poblek war lies bord diskwedhyans devops.

Vault gans HashiCorp

Vault yw ewn an pyth a vynnewgh omma.

Na dhowgh Vault yn kerhes produksyon yn unnik, gwrewgh y sevel yn kerghynnedh previans kynsa, awos dogvennans HashiCorp a hyll bos pur-wag kyn fo aga produktys souprijus.

Kromm dyskans pur-serth ha nyns yw tryvial dhe sevel.

An selyans kynsa yw nebes poen. Ev yw gwiw hwath, ha'n gemeneth a skoodh ev yn da lowr may hyllowgh pesya.

Dogvennans orrib mes yma lies gidys a-lyn a dus ow settya, ha mar kuntellowgh nebes anodhans, hwi a'n jevydh selyans a oberi.

Selyans kynsa a res ymhwilas gans aga ffigurys helm (vault ha consul). Kyn hyll yn teknegek usya lies diwedh-tu erell, ny wrav kusulya hedna yn tien. An diwedh-tu/consul a hyll bos pur-vyghan mar na'n jeves data meur dhe witha.

Gwrewgh dhywgh bos kuv/aswonnys gans usya an CLI yn sur, awos an GUI yw moy haval dhe borth previans-konsept/diskwedhyans rag aga ysgrifen kowethasek.

An fakt na hyllir "y lenwel" yw poen. Rag ensampel mar kevewgh 5 gwel, res yw ouryen pub gwel dre dhorn rag pub tra. Rakhenna nyns yw haval dhe dhefinya gwelyow rag klass arbennik, ha lenwel an gwelyow ma rag oll an taklow yn klass na, yw moy haval dhe "gul pub tra pub treweyth", hen yw (y'm tybyans) poen y'n tin.

Martesen y fynnewgh ynwedh mires orth goldfish avel UI a-ugh Vault. Ev a wra es kavos agas tim a-barth. I a'n jeves demo ynwedh. 1. Settya consul. 2. Settya vault ow poyntya orth consul. 3. Settya goldfish ow poyntya orth vault. 3. Settya nebes ober cron dhe weythi consul snapshot rag backups.

LastPass

LastPass Teams. Ni a'n usya, a'n jeves skantlynyow hewelus, ACL, heb tra vyth ow kelli y'm tybyans.

Me a weythras LastPass y'm kowethas ha re rov C+/B-. An ishu moyha lemmyn yw diffyth a fydhekter. Y'n 90 dydh tremenys y fu lies our may feu vaults gorrys yn modh dhyrwyr. Hemma nyns yw ideal rag ow kowethas awos kavos, yn lytheral, 4,000+ ger-tremena gwithys a-dreus 20+ kuntlas rannys. Kepar dell hyllowgh dychmygya gans kebmys a ger-tremena, lyha unn nebes yw nowydhhes po ouryes pub dydh. Ni a'n jeves towl DR mar pe ishuyow pesya moy es unn our po dew: skript a sin ha kodh CSV dump a'n vault pub nos a hyll bos ymportys yn keepass.

LastPass a'n jeves bylyow nag yns derivys a wassaneth dhisplegyes: omlogya 'oberi' mes ny dhre gwiasvaow, nodhow dre varth terrys yn panel gweythlu, ha nyns eus rannans alhwedhyow ewn rag kuntlasow rannys live uhel nowydh. Me a'n jeves usyer 'key push'/backup arbennik usyes yn pub kuntelles. Fenowgh omlogya avel an usyer na a hyll gwellhe pynag ishu rannans alhwedhyow mes na pan vo an gwassaneth dhisplegyes kyn lavar an folen studh...

Rag junyans yma es mar pe ACLs ewn gans model dhe'n lyha privilej dhe sentya, rag ensampel mar kevyk usyer redya ha skrifa ha redya hepken war entry po kuntlas ev a gaf hepken kummyasow redya hepken. Hwath ACLs ow kowethas nyns yns an gwella ytho me a worfednas usya API provisyonya JSON ha ~500 lyneow Python awos natur dyffendyus ow cannow ACLs nyns yw mappys da dhe'n model dhe'n lyha privilej. Me a worfednas kavos oll ACLs yn usyer ha gul kerdh dyffendyans a'n par ma.

Mar pe agas ACL po strokturyeth kuntelles drehevys kyns gans model dhe'n lyha privilej yn tybyans, an toul syncya AD/LDAP rag Windows a wra oberi yn da.

Kesklapewgh gans aga thim gwerth ha ev a hyll agas junya gans previans Enterprise hirra. Surhewgh may konvedhowgh y lettyansow yn tien kyns ys gul an dyberth. Ni a gafas niver da a boenyow tevyans mes a-ves terrys po lettyansow tu servyer ev re beu pur-slyk.

Bitwarden

Bitwarden a'n jeves toulys teg a-dro dhodho (WebUI, CLI, Symudek, Desktop). Hunnos-gwithys hag es dhe settya dre gehaval. Dogvennans dre gehaval da ha toul kusulys gans PrivacyTools.

EnvKey

https://www.envkey.com/ yw saas. Pur-es dhe weythi, junya ha rewlya.

Nodhow:

  • Difres alhwedhyow API ha dethol.

  • Gwithe kefrysyans yn kesson pub le.

  • Rewlyans kefrysyans ha kevrinyow skentel, kodhys penn-dhe-benn.

  • Lett rannans anseker ha skoranyans kefrysyans.

  • Junya yn nebes mynysennow.

Gallusow:

  • Rewlya kefrysyans ha livyow hedhes rag oll agas appys, kerghynnedhow, ha timyow yn unn le.

  • Kefrysya pynag kerghynnedh displegyans po servyer gans unn chanjyadow kerghynnedh hepken.

A-dhesk:

  • Folen gartref da.

  • Prop valew splann.

  • Aplikasyon wew gwelus ragorek.

  • Data ensampel bryntyn, rag ensampel Algolia, AWS, Datadog, GitHub, Stripe, hag yn.

  • Kewsys gans an selyer rag 30m a-dro dhe'n kowethas, UI, hag yn. Dane a seem godhvedhys da, onest a-dro dhe'n a-dhesk/drog, ha partner gallus.

  • An kowethas yw yn ollgemmyn kowethas Y Combinator ollgemmyn, gans 1 selyer. Drehevys $120K yn 2018-01.

  • Fok yw war dhos bys y nodhow kowethasek, arbennik treylya dhyworth whaleth kommol EnvKey dhe dhiwar-le po BYOC.

  • Hent a-rag gallus ow talleth gans EnvKey rag es usya, ha wosa (po yn kesstrif) ouryen Vault.

Confidant gans Lyft

https://lyft.github.io/confidant/

Confidant yw gwassanath rewlyans kevrinyow ygor-fenten a re gwithyans ha hedhes kevrinyow hegar dhe usyer yn fordh sawell, dhyworth displegyoryon yn Lyft.

Gwiryans KMS: Confidant a dhisolv kudyn an gwydhenn ha'n oy gwiryans dre usya AWS KMS ha IAM dhe gonsentya dhe rollow IAM dhe dhry tokynnow gwiryans sawell a hyll bos gwiriys gans Confidant. Confidant a rewl ynwedh grantyow KMS rag agas rollow IAM, a gonsent dhe rollow IAM dhe dhry tokynnow a hyll bos usys rag gwiryans gwassanath-dhe-wassanath, po dhe dreusdhelya messajys kodhys ynter gwassanethow.

Kodhyans a-wor a gevrinyow gwersyonys: Confidant a with kevrinyow yn fordh ouryes hepken yn DynamoDB, ow jeneredh alhwedh data KMS unnik rag pub dasvewyans a bub kevrin, ow usya kriptografieth awtentik symetrek Fernet.

Ynterfas gwew hegar dhe usyer rag rewlya kevrinyow: Confidant a re ynterfas wew AngularJS a gonsent dhe usyoryon diwedh rewlya kevrinyow yn es, mapyansow kevrinyow dhe wassanethow, hag istori chanjyow.

Devolutions Password Server

https://server.devolutions.net/

Sawya, rewlya, ha gwitha lagas war hedhes dhe gontow ha sessyons arbennik.

Vault ger-tremena kowlwir, sawell uhel a vynn gul kontrollya hedhes dhe agas kontow arbennik, ha gwellhe ynwedh gwelheans ros kowlwir rag sysadmins ha ri skians slyk rag usyoryon diwedh.

Nodhow: vault ger-tremena kowethas kresek, vault privedh arbennik usyer, rewlyer ger-tremena, ynjeksyon dethol, junyans Active Directory, kontrollya hedhes selys war rol, gwiryans dew-fatour, parys rag kowethas, lettyansow IP, gallusow rewlyans, jeneredhor ger-tremena awtomatek, hedhes appys symudek, istori ger-tremena, derivasow hedhes, gwarnyow e-bost.

  • a skoodh kodhyans data

  • a skoodh lies skema gwiryans ow keworra LDAP, O365, ha usyoryon Local GANS skoodh rag MFA dhyworth lies fenten

  • lies gwithva/vault gans kontrollow hedhes manylys rag lies tim

  • UI Gwew nowydhek

  • vaults dethol ha junyans privedh rag dethol/junyans personek

  • appys symudek rag iOS/Android

  • lagys awdyt rag pub entry, piw/pyth/pan gans govyn dewisus rag perag y hedhons

  • skantlynyow hewelus (kyn skoodhons kanspyw sort junyans yn genesek)

  • kanspyw nodhow moy ha cliant tew Windows/Mac (Remote Desktop Manager) a hyll bos syncys dhodho hag a ystyn meurgerdh an dewisyow...junyansow unn-klik

  • prys nyns yw drog hep tra – bys y 15 usyer yw $500 pub bledhen rag an servyer ger-tremena

Secret Server gans Thycotic

https://thycotic.com/products/secret-server/

Nodhow gwersyon war-le:

  • Kontrol leun a'gan systemow sawder penn-dhe-benn ha'n infrastruktur

  • Displegya medhelweyth y'n kenwerthva data war-le po y'gan enstans kommol privedh

  • Gorthybi dyghtyansow lagh ha rewlys a res may fo oll data ha systemow war-le

Nodhow gwersyon kommol:

  • Model medhelweyth-avel-gwassaneth a gonsent omskrifa ha dalleth skon

  • Skalyadewder elastek pan dhewgh

  • Kontrollow ha dasvodhyans delivrys gans Azure gans SLA 99.9% a uptime

Dasbrofyans usyer:

  • Ni a usya an produkt na. Ev o mar es dhe dhyvorya ha'n rewlys a oberi hepken rag tus skentel. Usyoryon lowr po gokki a hyll y dhisfurvya yn es yn tiredh tim. Prysyow yw negosyadow pan wrewgh kewsel gansans.

  • Hwi a hyll y weythi ow usya SQL express ha kefrys Win 7.

  • Kuv.