Secret Manager 是一個全託管且可擴展的服務，用於儲存、操作、審核和存取 Google Cloud 服務(包括 GKE 和 Compute Engine)中使用的機密資訊。任何一個機密管理策略中，非常關鍵部分就是管理機密的刪除和銷毀。為提供客戶這方面的進階功能，Google Cloud 宣布，Secret Manager 的延遲銷毀機密版本功能已全面可用。這項新功能有助於確保機密資訊不會被意外或蓄意的惡意攻擊錯誤刪除。
Secret Manager 延遲銷毀如何運作？
Secret Manager 中有兩個主要資源 —— 機密和機密版本(secret version)。機密是一個項目級物件，包含後設資料(metadata)和機密版本的集合，而機密版本是實際儲存機密數據的地方，如憑證、API 密鑰或證書。
在管理 Secret Manager 中的機密內容生命周期時，客戶遇到了一些挑戰：
- 機密版本的銷毀是不可逆的步驟，這意味著一旦銷毀，就無法復原機密內容。
- 若缺乏可操作的警報，當有人嘗試銷毀您的關鍵機密時，管理員將無法即時介入。
為了解決這些挑戰，Google Cloud 引入了兩個功能，作為機密延遲銷毀的一部分：可自定義的延遲銷毀時間以防止機密版本被立即銷毀，以及一個新的 Pub/Sub 事件通知，當銷毀操作嘗試發生時會發出警報。
在引入延遲銷毀之前，機密版本可以在啟用、禁用和銷毀階段之間移動。禁用是一個可逆的狀態，防止存取機密版本；而在預設情況下，銷毀狀態是即時且不可逆的。延遲銷毀引入了新的流程，禁止機密版本立即銷毀。這在意外事件發生時提供了一個後備選項，並增加了對數據受到威脅時的安全保障。
現在，當進行銷毀操作時，會對特定版本進行軟刪除(soft-delete)，將其狀態移至禁用，機密將保持在一個為期 N 天的歸檔期內。管理員可以使用 TTL_DURATION 欄位來設定此一時期。在歸檔期內，管理員可以選擇透過重新啟用機密版本來恢復它，並將其移至啟用狀態。在延遲期過後，機密版本將永久銷毀。
透過 Pub/Sub 通知獲得可觀察性和警報
可觀察性是定義良好安全態勢的關鍵元素，為了通知組織的管理員和 SecOps 專家任何銷毀機密版本的嘗試，Google Cloud 新增了新的選擇性 Pub/Sub 通知，名為 SECRET_VERSION_DESTROY_SCHEDULED。啟用後，任何計劃的銷毀操作都會通知相應的 Pub/Sub 主題，讓值班人員能分析變更，並在必要時恢復機密版本，而不是允許銷毀繼續。
最低權限存取與延遲銷毀功能的互補
僅啟用延遲銷毀功能並不能完全防止機密內容的銷毀，設置適當的存取控制非常重要。即使啟用了該功能，機密的管理員仍然可以選擇完全刪除機密。因此，必須將管理員存取權限僅授予一個受高度信任且範圍嚴格限制的使用者群組。對於機密的常規生命周期管理操作，應僅向使用者提供受限制的角色，讓這些角色授予他們完成任務所需的最小權限：
- 機密管理員：授予對機密、版本及其生命周期具有完全控制權的管理員。通常此角色僅限於安全管理員群組，不會廣泛分配。
- 機密版本管理員/新增者：授予進行機密版本生命周期管理(新增、啟用、禁用、銷毀）或輪換工作流程的 DevOps 工程師或服務帳戶。這些角色不被允許修改機密屬性。
滿足客戶需求
與 Google Cloud 合作開發延遲銷毀功能的客戶反饋，這個功能幫助加強了對網路攻擊的抵抗力並簡化了備份流程。
Crypto Finance AG 的首席資訊安全官(CISO) Dominik Raub 表示：「Secret Manager 中的延遲銷毀機密版本功能幫助我們有效防禦勒索軟體等破壞性攻擊或意外刪除重要機密的風險。作為一家金融服務公司，IT 平台的安全性和韌性是我們工作的核心。」
他補充道：「我們將憑證和密鑰內容儲存在 Secret Manager 中，以便安全地提供給應用程式。由於這些機密對我們的應用程式和基礎架構運行至關重要，它們需要得到保護，以防止惡意或意外的刪除。過去，在我們使用的所有雲端平台上，這是一個真正的挑戰。我們向 Google 的合作夥伴提出了這個問題，並對他們的協作態度以及他們提供解決方案的速度感到非常滿意。現在，我們只需點擊幾下即可保護機密，而無需實施複雜的備份流程。這一切都不會影響 Secret Manager 所提供的保護。」
若您的組織目前尚未開始使用 Google Cloud 或 Google Workspace，可以聯繫 Google Cloud 菁英合作夥伴宏庭科技，宏庭提供獨家售前導入諮詢與購買 Google Cloud、Google Workspace 後的專業技術支援，解決您的資料搬遷煩惱及使用上的各種疑難雜症。更重要的是，宏庭科技持續提供客戶第一手 Google Cloud、Google Workspace 最新消息、科技新知電子報與主題豐富的線上研討會/實體工作坊。歡迎填寫連絡表單，讓宏庭科技的專屬顧問團隊帶領您的組織安心擁抱雲端！
本文章翻譯並改寫自 Google Cloud 官方部落格。
