Tillitsgränser och klasser av hemligheter
Valv i Personal och Community fungerar fullt ut offline. Enterprise lägger till centralt kontrollerade hemlighetsklasser: vid varje ny leverans av nödvändigt nyckelmaterial måste klienten klara serverbaserade kontroller av identitet, enhet och policy. Dekryptering kan ske på klienten; samordnaren behöver inte se klartext.
Återkallad behörighet på serversidan kan inte radera nyckelmaterial som redan finns i cache eller har läckt från en komprometterad klient. Konfidentiell lagring och central åtkomstkontroll är olika egenskaper – inte en obegränsad garanti för både full zero knowledge och omedelbar återkallelse.
Identitet, policy och ny auktorisering
Identiteter omfattar medarbetare och maskiner, med organisationstillhörighet, enhets- och arbetskontext, grupper, roller och policyer per hemlighet. Läsning, utlämning, redigering, rotation och administration är separata behörigheter. Nytt nyckelmaterial för strikt kontrollerade hemligheter kräver ett nytt beslut på serversidan.
Varje beslut knyter ihop identitet, hemlighetens ID och version, policyrevision, utgångstid, begärd åtgärd och korrelations-ID. Om auktorisering inte kan verifieras nekas nya utlämningar av skyddade hemligheter; redan utlämnat material omfattas inte av den garantin.
Central revisionslogg: fält och bevis
Händelser omfattar UTC-tid, händelse-ID, identitet eller arbetsbelastning, ID och version för hemlighet, enhetskontext, åtgärd, policyreferens, beslut och korrelations-ID. Tillåtna, nekade och administrativa händelser registreras. Registrera aldrig hemliga värden, token, klartextnycklar eller hela datamängder.
Ett skyddat centralt lager kan använda append-only/WORM-lagring, integritetskedjor och signerade poster för att upptäcka manipulation i efterhand. En angriparkontrollerad klient kan ändå dölja lokal dekryptering eller obemärkt kopiering: granskningen bevisar auktoriserad nyckelutlämning, inte all senare användning.
För policyer med hög känslighet kan bekräftad mottagning i granskningsloggen kopplas till nyckelutlämning. Om auktoriserings- eller loggvägen är nere nekas motsvarande nya utlämning, vilket prioriterar en tillförlitlig central beslutshistorik framför tillgänglighet.
Avsluta åtkomst, kartlägg exponering och rotera nycklar
Återkalla identitetsmedlemskap, roller, enheter och arbetsbehörigheter. Korrelera utlämningar och loggad åtkomst för att kartlägga potentiellt åtkomliga hemlighets-ID:n och versioner, även kända offlinekopior och tidigare nyckelomslag. Avsaknad av klienttelemetri bevisar inte att en hemlighet aldrig kopierats.
Rotera eller återkalla autentiseringsuppgifterna i målsystemet, uppdatera beroende applikationer, utfärda vid behov nya nyckelgenerationer och följ upp tills arbetet är klart. Att omsluta en valvnyckel på nytt ogiltigförklarar inte en API-token eller ett lösenord som redan kopierats från valvet.
Maskinidentiteter, OIDC och CI/CD
Arbetsbelastningar får separata identiteter, snäva behörighetsomfång, tidsgränser och spårbar granskning. CI/CD-körningar autentiseras med betrodda OIDC-utfärdare; verifiera tokensignatur, målgrupp, subjekt, utgångstid och arbetsflödesspecifika anspråk före utlämning av åtkomst.
Kortlivade leasingperioder och principen om minsta behörighet begränsar skadeomfattningen. Inloggningsuppgifter och token får inte förekomma i pipeline-loggar eller centrala granskningshändelser. Varje godkänd utlämning registrerar arbetsbelastning, hemlighetens version och korrelation. Redan kopierade uppgifter förblir giltiga tills de löper ut eller roteras i målsystemet.
Valfria integrationer
Policy- och utlämningslagret är oberoende av lagringssystemet. OpenBao och liknande system kan stödjas i framtiden via valfria integrationer utan att Personal eller Community kräver någon server.
Granskningsposter bevisar beslut och utlämningar; återkallelse stoppar framtida auktoriserade utlämningar, inte gamla kopior. Därför bildar auktorisering, loggning, rotation av autentiseringsuppgifter och arbetsidentitet ett sammanhängande kontrollsystem.