Harici gizli bilgi referansları

Varsayılan olarak bir bağlantının parolası QueryProxy’de, uygulama anahtarıyla şifrelenmiş saklanır. Politikanız veritabanı parolalarının bir sır yöneticisinde durmasını söylüyorsa bağlantıya değer yerine bir referans verin. QueryProxy sırrı bağlantıyı açarken okur, veritabanı sürücüsüne verir ve unutur. Saklanan yalnızca referanstır.

Üç tür referans desteklenir:

Vault’ta #<key>, sırrın içindeki alanı adlandırır. AWS’de <secret-id> sırrın adı ya da ARN’sidir; sır bir JSON nesnesiyse #<json-key> tek bir anahtarı seçer, verilmezse sır metninin tamamı parola olur. Azure’da sürüm isteğe bağlıdır ve verilmezse güncel sürüm kullanılır.

vault://secret/teams/payments/orders-db#password
aws-sm://prod/payments/orders-db#password
azure-kv://payments-vault/orders-db-password

Bir bağlantının parolası ile ayrı okuma parolası ayrı ayrı referans olabilir. vault://, aws-sm:// ya da azure-kv:// ile başlayan düz bir parola artık referans sayılır.

Hangi takım hangi referansı kullanabilir

Referanslar takım başına sınırlanır ve bir takım hiçbiriyle başlamaz. Bu sınır olmasa, bağlantı oluşturabilen biri bağlantının host’unu kendi sunucusuna çevirip Vault token’ının okuyabildiği herhangi bir sırrı o sunucuya yollatabilirdi.

Sistem yöneticisi her takım için, bağlantılarının başvurabileceği önekleri belirler. Admin → Teams ekranındaki Secret paths paneli ya da komut satırı:

php artisan queryproxy:team:secret-prefixes payments vault://secret/teams/payments
php artisan queryproxy:team:secret-prefixes payments            # listeyi göster
php artisan queryproxy:team:secret-prefixes payments --clear    # hiçbirine izin verme

Komut takımın kimliğini ya da slug’ını alır. Verdiğiniz önekler yeni listenin tamamıdır. Kurallar:

• Referans, bir önekin altındaysa izinlidir; karşılaştırma tam yol parçaları üzerinden yapılır: vault://secret/teams/pay, vault://secret/teams/payments’ı kapsamaz.
• Önekte joker, #key, .. ya da % olmaz; en çok 512 karakterdir. Sondaki / atılır.
• ARN olarak yazılmış bir AWS sırrı ile aynı sırrın adla yazılmış hâli iki ayrı adrestir; kullandığınız biçimi listeleyin. Biri ötekini kapsamaz.
• Değişiklik, öncesi ve sonrasıyla team.secret_prefixes_changed olarak denetim günlüğüne yazılır. Panel, bir önek başka bir takımınkiyle çakışıyorsa uyarır.
• Öneki olmayan takım referanslı bağlantı kaydedemez; bağlantı formu onun için harici kaynakları devre dışı bırakır. Bağlantıyı başka takıma taşımak referansı yeniden denetler.
• Denetim, bağlantı kaydedilirken ve sır çözülürken yeniden, önbelleğe bakılmadan önce yapılır; böylece başka takımın önbelleğe aldığı değer asla verilmez.

Bağlantı formunda

Connections → New connection’ı (ya da bir bağlantının düzenlemesini) açın. Credential source şunları sunar: Stored password, HashiCorp Vault, AWS Secrets Manager ve Azure Key Vault. Harici kaynakta parola kutuları, beklenen biçimi gösteren bir referans alanına dönüşür; yazdığınız biçime benzemiyorsa uyarı verir. Uyarı yalnızca ipucudur: karar sunucudadır. Takımın izinli yolları alanın altında listelenir.

Bağlantı listesinde Credentials sütunu kaynağı ve referans varsa referansın kendisini gösterir, parolayı asla göstermez. Artık takımın öneklerinin dışında kalan referans Outside team paths ile işaretlenir. Düzenlerken referans forma gelir; kayıtlı parola asla gösterilmez.

Test, referansı gerçekten çözer. Bir şey ters giderse sırrı asla taşımayan, bir neden adlandıran sabit bir mesaj verir.

Çözümleme başarısız olursa

Çözümleme kapalı biçimde başarısız olur: talep genel bir mesajla failed olur ve bağlantı denenmez. Ayrıntı uygulama günlüğüne (şema, host ya da yol, neden, HTTP durumu) ve denetim günlüğüne secret.resolve_failed olarak (şema ve yol, #key olmadan, ve neden) gider. Değer ve onu almak için kullanılan token’lar hiçbir yere yazılmaz. Nedenler: invalid_reference, not_allowed, not_configured, auth_failed, access_denied, not_found, key_missing, malformed_response ve unavailable.

Değerler web ve worker süreçlerinin bellekte önbelleğinde tutulur; uygulama önbelleğinde değil. Süreyi QUERYPROXY_SECRET_CACHE_TTL belirler (varsayılan 300 saniye, 0 önbelleği kapatır). Depoda parolayı döndürdükten sonra bağlantılar değişikliği bu süre içinde alır. Her sürecin kendi önbelleği vardır.

php artisan queryproxy:doctor içinde secret_stores denetimi vardır. Ağ çağrısı yapmaz: kayıtlı bir referansın kullandığı depo yapılandırılmamışsa ya da kayıtlı bir referans bozuksa veya takımın öneklerinin dışındaysa başarısız olur.

Ayarlar

HashiCorp Vault

QUERYPROXY_VAULT_MOUNTS KV v1 için zorunludur; orada bir KV mount’unu başka bir Vault API yolundan ayıran başka bir şey yoktur. kv/prod gibi adında eğik çizgi olan mount’lar için de gerekir; en uzun eşleşen mount kullanılır. Ayarlandığı anda izin listesi olur: yalnızca bu mount’lar okunur. Ayardan bağımsız olarak auth, sys, identity ve cubbyhole altına giden referanslar reddedilir; bir referans Vault’un kendi API yollarını okumak için kullanılamaz.

AWS Secrets Manager

QueryProxy, AWS SDK’nın varsayılan kimlik bilgisi zincirini kullanır: ortam değişkenleri, paylaşılan kimlik dosyaları, IRSA web identity, ECS görev rolü ve instance profile. QueryProxy’ye özgü anahtar yoktur.

Azure Key Vault

QUERYPROXY_VAULT_TOKEN, QUERYPROXY_VAULT_SECRET_ID ve QUERYPROXY_AZURE_CLIENT_SECRET her zamanki _FILE sonekiyle dosyadan okunabilir; bkz. Dosyadan sırlar.

Sonraki adımlar

• Bu ayarları pod’lara geçirmek için Kubernetes ve Helm.
• Kontrol listesinin kalanı için Üretim güvenliği.
• secret.* olayları için Denetim kaydı ve SIEM.