Frontières de confiance et classes de secrets
Personal et Community conservent une utilisation intégralement hors ligne. Enterprise propose des secrets à accès strict : une nouvelle remise du matériel de clé exige une décision centrale sur l’identité, l’appareil et la politique. Le déchiffrement peut avoir lieu sur le client autorisé sans exposer le clair au coordinateur.
La révocation serveur ne retire pas une clé déjà copiée ou mise en cache. Confidentialité du stockage et contrôle central ne signifient pas révocation rétroactive garantie ni protection d’un poste compromis.
Identités, politiques et nouvelle autorisation
Les acteurs sont employés ou identités machines, liés à des groupes, rôles, appareils et politiques propres à chaque secret. Lire, remettre, modifier, faire tourner et administrer sont des droits séparés. Toute nouvelle remise pour un secret strict nécessite une autorisation serveur.
La décision porte sur le principal, le secret et sa version, la politique, l’expiration et l’identifiant de corrélation. Si le service de contrôle est indisponible, les nouvelles remises sensibles échouent de façon fermée.
Journal central et force probante
Les événements contiennent horodatage UTC, identifiant d’événement, acteur, appareil ou charge, secret et version, opération, décision, politique et corrélation. Ni valeurs, ni jetons, ni clés en clair ne sont consignés.
Un stockage central protégé peut utiliser des écritures append-only/WORM, signatures et chaînes d’intégrité. Toutefois, un client compromis peut dissimuler une décryption ou une copie locale : le journal atteste des autorisations ou remises, pas de chaque utilisation.
Les politiques les plus strictes peuvent exiger l’accusé de réception de l’événement avant la remise. En cas de panne du contrôle ou du journal, la nouvelle remise est refusée.
Départ, inventaire d’exposition et rotation
Révoquer comptes, groupes, rôles, appareils et identités machines. Recouper autorisations et événements pour identifier les secrets, versions et copies locales potentiellement accessibles. L’absence de journal client ne prouve pas l’absence de copie.
Révoquer ou renouveler les identifiants dans les systèmes cibles, redistribuer les nouveaux secrets et documenter la fin du processus. Changer seulement une enveloppe de clé n’invalide pas un mot de passe déjà divulgué.
Identités machines, OIDC et CI/CD
Chaque service possède un principal distinct et une portée limitée. Le pipeline s’authentifie via un fournisseur OIDC fiable ; signature, émetteur, audience, sujet, expiration et contexte du workflow sont vérifiés.
Les autorisations sont de courte durée. Les jetons et secrets sont exclus des journaux et de la sortie CI/CD. Les remises tracent la charge, la version et la corrélation ; les copies anciennes restent valides jusqu’à expiration ou rotation dans le service cible.
Intégrations optionnelles
Le contrôle de politique reste indépendant du stockage. OpenBao et solutions comparables peuvent être ajoutés ultérieurement via des connecteurs optionnels, sans rendre Personal ou Community dépendants d’un serveur.
Le journal prouve une autorisation ou une remise, pas l’absence de copie. La révocation arrête les nouvelles remises, tandis que la rotation traite les secrets précédemment exposés.