Entry № 259
凭据保险库
凭据保险库 是什么?
凭据保险库集中化且可审计的服务,用于安全存储、轮换并代理对密码、API 密钥、证书和 SSH 密钥等机密的访问。
凭据保险库(有时也称为机密管理器)对静态敏感数据进行加密,实施细粒度的访问策略,并按需向应用和人员发放机密,通常采用短时有效的动态凭据形式。典型实现包括 HashiCorp Vault、CyberArk、AWS Secrets Manager、Azure Key Vault 与 Google Secret Manager。通过将代码和配置中的硬编码机密替换为基于 API 的检索,并与 IAM 集成实现细粒度授权、生成不可篡改的审计日志,保险库显著降低了凭据泄露的影响范围。它们也是特权访问管理(PAM)项目的基础,支持 just-in-time 访问、会话代理以及数据库、云端与服务账户凭据的自动轮换。
● 示例
- 01
CI 流水线在部署时从 HashiCorp Vault 获取一条短时有效的数据库密码。
- 02
PAM 平台使用从保险库取出的凭据为 Windows 服务器代理 RDP 会话。
● 常见问题
凭据保险库 是什么?
集中化且可审计的服务,用于安全存储、轮换并代理对密码、API 密钥、证书和 SSH 密钥等机密的访问。 它属于网络安全的 身份与访问 分类。
凭据保险库 是什么意思?
集中化且可审计的服务,用于安全存储、轮换并代理对密码、API 密钥、证书和 SSH 密钥等机密的访问。
如何防御 凭据保险库?
针对 凭据保险库 的防御通常结合技术控制与运营实践,详见上方完整定义。
凭据保险库 还有哪些其他名称?
常见的别称包括: 机密管理器, 机密存储。