സേവനങ്ങൾ തമ്മിലുള്ള സ്റ്റാറ്റിക് പാസ്വേഡുകൾ ഇനി വേണ്ട

നിങ്ങളുടെ സേവനങ്ങൾ പരസ്പരം എങ്ങനെ ആധികാരികത ഉറപ്പാക്കുന്നു എന്നതിനെക്കുറിച്ചും ക്ലൌഡിനെയും കുറിച്ച് ചിന്തിക്കുക. പല കമ്പനികളിലും, ഉത്തരം സ്റ്റാറ്റിക് ക്രെഡൻഷ്യലുകളാണ്. ഒരു പരിസ്ഥിതി വേരിയബിളിലെ ഒരു ആക്സസ് കീ. ഒരു കോൺഫിഗറേഷൻ ഫയലിലെ ഒരു പങ്കിട്ട API ടോക്കൺ. ഒരു ഡാറ്റാബേസ് പാസ് വേഡ് അഞ്ചു സ്ഥലങ്ങളില് പകര് ത്തു. അവ വളരെ അപൂർവ്വമായി മാത്രമേ മാറുന്നുള്ളൂ, അവയിൽ ഒന്ന് ചോർന്നാൽ, അത് എവിടെയാണ് ഉപയോഗിച്ചതെന്ന് പലപ്പോഴും അറിയില്ല.

മനുഷ്യർ ഇത് കുറച്ചു കാലം മുമ്പ് മറന്നു: ഒറ്റ ലോഗിൻ, MFA, ഹ്രസ്വകാല സെഷനുകൾ. ജോലിഭാരം ഒരുപോലെ തന്നെ.

രഹസ്യങ്ങൾ പങ്കുവെക്കുന്നതില് പ്രശ്നം

സ്റ്റാറ്റിക് ക്രെഡൻഷ്യലുകള് ക്ക് മൂന്ന് വലിയ ദൌര് ബല്യങ്ങളുണ്ട്:

• അവ ദീർഘകാലം നിലനിൽക്കും. ചോർന്ന താക്കോൽ ആരെങ്കിലും ശ്രദ്ധിക്കുകയും അത് തിരിക്കുകയും ചെയ്യുന്നതുവരെ പ്രവർത്തിക്കുന്നു, അത് മാസങ്ങളോളം നീണ്ടുനിൽക്കും.
• അവ പകര് ത്തുവാന് പറ്റുന്നവയാണ്. ആര് ക്കും, എന്തിനും ആര് ക്കും ആ താക്കോല് കിട്ടിയാൽ എവിടെനിന്നും ഉപയോഗിക്കാം.
• ആരാ വിളിക്കുന്നതെന്ന് അവർ പറഞ്ഞില്ല. ഒരു ടോക്കൺ പങ്കിടുന്ന അഞ്ചു സേവനങ്ങളും ലോഗുകളിൽ ഒരേപോലെ കാണപ്പെടുന്നു.

വിശ്വാസ്യതയില്ല നിങ്ങളുടെ നെറ്റ് വർക്കിൽ ഉള്ളതുകൊണ്ട് മാത്രം ഒന്നും വിശ്വസിക്കപ്പെടരുത് എന്ന ആശയമാണ്. ഓരോ അപേക്ഷയും ആര് നല് കിയതാണെന്ന് തെളിയിക്കണം. വർക്ക് ലോഡുകൾക്ക്, ഓരോ സേവനത്തിനും ശക്തവും പരിശോധിക്കാവുന്നതുമായ ഒരു ഐഡന്റിറ്റി നൽകുക എന്നാണർത്ഥം.

ക്ലൌഡ് വർക്ക് ലോഡ് ഐഡന്റിറ്റി

ഏറ്റവും എളുപ്പമുള്ള വിജയം: നിങ്ങളുടെ വർക്ക് ലോഡുകൾ ക്ലൌഡ് സേവനങ്ങളിലേക്ക് കീകൾക്കു പകരം അവരുടെ പ്ലാറ്റ്ഫോം ഐഡന്റിറ്റി ഉപയോഗിച്ച് ആധികാരികമാക്കുക.

കുബർനെറ്റീസിൽ, ഓരോ കോഡും ഒരു സേവന അക്കൌണ്ട്. ക്ലൌഡ് ദാതാക്കൾക്ക് കുബർനെറ്റസ് സേവന അക്കൌണ്ട് ടോക്കണുകളെ വിശ്വസിക്കാനും അവയെ ഹ്രസ്വകാല ക്ലൌഡ് ക്രെഡൻഷ്യലുകൾക്ക് കൈമാറ്റം ചെയ്യാനും കഴിയുംഃ

• എ. ഡബ്ല്യു. എസ്: സേവന അക്കൌണ്ടുകൾക്കായുള്ള ഐ. എ. എം. റോളുകൾ (ഐ. ആർ. എസ്. എ) അല്ലെങ്കിൽ പുതിയത് എ. കെ. എസ്. പോഡ് ഐഡന്റിറ്റി.
• ഗൂഗിൾ ക്ലൌഡ്: ജി. കെ. ഇ. യുടെ വർക്ക് ലോഡ് ഐഡന്റിറ്റി ഫെഡറേഷൻ.
• അസൂര്: മൈക്രോസോഫ്റ്റ് എൻട്രാ വർക്ക് ലോഡ് ഐഡി.

സജ്ജീകരണം: ഒരു കുബർനെറ്റസ് സേവന അക്കൌണ്ട് ഒരു ക്ലൌഡ് റോളിലേക്ക് ബന്ധിപ്പിക്കുക. ആ സേവന അക്കൌണ്ട് ഉപയോഗിക്കുന്ന പോഡുകൾക്ക് സ്വയമേവ താൽക്കാലിക ക്രെഡൻഷ്യലുകൾ ലഭിക്കുന്നു, അവയ്ക്ക് വേണ്ടി തിരിഞ്ഞു, ആ റോളിന് അനുയോജ്യമായ സ്കോപ്പ്. സൂക്ഷിക്കേണ്ട രഹസ്യമില്ല, അധികകാലം ചോർത്താൻ ഒന്നുമില്ല.

apiVersion: v1
kind: ServiceAccount
metadata:
  name: orders
  namespace: shop
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::123456789012:role/shop-orders

ഇതേ ആശയം തന്നെയാണ് ഐ. സി. യിലും. ഒഐഡിസി ഫെഡറേഷൻ സംഭരിച്ച കീകളില്ലാതെ ഗിറ്റ്ഹബ് ആക്ഷനുകൾ, ഗിറ്റ്ലാബ് ഐഐ എന്നിവയും മറ്റുള്ളവരും ക്ലൌഡ് ക്രെഡൻഷ്യലുകൾ നേടാൻ അനുവദിക്കുന്നു.

ഏറ്റവും സുരക്ഷിതമായ ആധികാരികത ഏതാനും മിനിറ്റ് ഒരു ജോലിക്ക് ഒരു ജോലിക്ക് നൽകിയതും പിന്നെ കാലഹരണപ്പെടുന്നതുമാണ്.

SPIFFE, ലളിതമായി

ക്ലൌഡ് വർക്ക് ലോഡ് ഐഡന്റിറ്റി "എന്റെ കമ്പ്യൂട്ടർ എന്റെ ക്ലൌഡ് പ്രൊവൈഡറുമായി സംസാരിക്കുന്നു" എന്നതിനെ പരിഹരിക്കുന്നു. എന്നാൽ സേവനങ്ങൾ തമ്മിലുള്ള കോളുകളെ കുറിച്ച്, ക്ലസ്റ്ററുകളിലും, ക്ലൌഡുകളിലും, ഓൺ-പ്രിമൈസ് മെഷീനുകളിലും?

സ്പിഫ് (Secure Production Identity Framework For Everyone) എന്നത് ഏത് പ്ലാറ്റ്ഫോമിൽ നിന്നും സ്വതന്ത്രമായി വർക്ക് ലോഡ് ഐഡന്റിറ്റിക്കായുള്ള ഒരു സിഎൻസിഎഫ് സ്റ്റാൻഡേർഡാണ്. അത് നിർവചിക്കുന്നുഃ

• SPIFFE ഐഡി: ഒരു വർക്ക് ലോഡിന്റെ ഒരു അദ്വിതീയ നാമം, ഒരു യു. ആർ. ഐ ആയി എഴുതിയിരിക്കുന്നു, spiffe://acme.com/ns/shop/sa/orders.
• എസ്വിഐഡി (SPIFFE Verifiable Identity Document): ആ വ്യക്തിത്വം തെളിയിക്കുന്ന ഒരു ഹ്രസ്വകാല രേഖ, X.509 സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ ജെ.ഡബ്ല്യു.ടി.
• വർക്ക് ലോഡ് API: ഒരു ലോക്കൽ എപിഐ, അവിടെ വർക്ക് ലോഡുകൾ അവരുടെ എസ്വിഐഡികളെ കണ്ടെത്തുന്നു, തുടക്കത്തിൽ രഹസ്യങ്ങൾ ആവശ്യമില്ലാതെ.

സ്പൈര് അത് റഫറൻസ് നടപ്പിലാക്കലാണ്. ഓരോ നോഡിലും ഒരു സ്പൈർ സെർവർ ഐഡന്റിറ്റികളും ഏജന്റുമാരും നൽകുന്നു സാക്ഷ്യപത്രം വർക്ക് ലോഡുകൾ: ഒരു ഐഡന്റിറ്റി കൈമാറുന്നതിന് മുമ്പ് വർക്ക് ലോഡ് യഥാർഥത്തിൽ എന്താണെന്ന് അവർ പരിശോധിക്കുന്നു (ഏത് കുബർനെറ്റ്സ് സേവന അക്കൌണ്ട്, ഏത് നോഡ്, ഏത് പ്രോസസ്സ്). സർട്ടിഫിക്കറ്റുകൾ ഓട്ടോമാറ്റിക്കായി മാറുന്നു, പലപ്പോഴും ഓരോ മണിക്കൂറിലും.

പല ഉപകരണങ്ങളും SPIFFE സംസാരിക്കുന്നുഃ ഇസ്റ്റിയോ, ലിങ്കെർഡ് തുടങ്ങിയ സേവന മെഷുകൾ SPIFFE- ശൈലിയിലുള്ള ഐഡന്റിറ്റികൾ ആന്തരികമായി ഉപയോഗിക്കുന്നു, കൂടാതെ എംബോയ്, സിലിയം, വിവിധ ഡാറ്റാബേസുകൾ, പ്രോക്സികൾ എന്നിവയ്ക്ക് SVID- കൾ ഉപയോഗിക്കാൻ കഴിയും.

സേവനങ്ങൾ തമ്മിലുള്ള mTLS

ഐഡന്റിറ്റികൾ ഉള്ളതോടെ സേവനങ്ങള് ക്ക് പരസ്പര TLS (mTLS): ഇരുപക്ഷവും സർട്ടിഫിക്കറ്റുകൾ അവതരിപ്പിക്കുന്നു, അതുകൊണ്ട് ഓരോരുത്തർക്കും കൃത്യമായി അറിയാം, ആരോടാണ് സംസാരിക്കുന്നതെന്ന്, ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു.

എല്ലാ ആപ്ലിക്കേഷനുകളിലും കൈകൊണ്ട് എംടിഎൽഎസ് ചെയ്യുകയെന്നത് വേദനയേറിയ കാര്യമാണ്. അതുകൊണ്ടാണ് സാധാരണയായി ഇത് കൈകാര്യം ചെയ്യുന്നത്:

• ഒരു സേവന മെഷ് (ഇസ്റ്റിയോ, ലിങ്കെര്ദ്, സിലിയം), എല്ലാ സേവനങ്ങളും തമ്മിലുള്ള mTLS യാന്ത്രികമായി ചേർക്കുന്നു.
• SPIFFE ലൈബ്രറികൾ (ഗോ-സ്പൈഫ് എൽ.ഇ.വി.) സ്വയം കൈകാര്യം ചെയ്യുന്ന ആപ്ലിക്കേഷനുകൾക്കായി.

എം ടി എൽ എസ് ന് മുകളിൽ, നിങ്ങൾക്ക് എഴുതാം അനുമതി നയങ്ങൾ: "മാത്രം checkout സേവനം വിളിച്ചേക്കാം payments ഓൺ /charge" അത് ശൂന്യമായ വിശ്വാസമാണ്: ഐഡന്റിറ്റി അടിസ്ഥാനമാക്കിയുള്ള പ്രവേശനം, നെറ്റ് വർക്ക് അടിസ്ഥാനമാക്കിയുള്ളതല്ല.

എവിടെ നിന്ന് തുടങ്ങണം?

ഒന്നാം ദിവസം തന്നെ നിങ്ങൾക്ക് സ്പൈര് ആവശ്യമില്ല. പ്രായോഗികമായ ഒരു പാത:

1. ക്ലൌഡ് ആക്സസ് കീകൾ മാറ്റിസ്ഥാപിക്കുക നിങ്ങളുടെ പ്രൊവൈഡറുടെ വർക്ക് ലോഡ് ഐഡന്റിറ്റി ഉപയോഗിച്ച് കുബർനെറ്റസിൽ.
2. CI ക്ലൌഡ് കീകൾ മാറ്റിസ്ഥാപിക്കുക ഒഐഡിസി ഫെഡറേഷനുമായി.
3. ബാക്കിയുള്ള രഹസ്യങ്ങള് നീക്കുക ഒരു രഹസ്യ മാനേജരായി മാറുന്നു.
4. സേവനങ്ങള് തമ്മില് mTLS ചേര് ക്കുക, ഏറ്റവും എളുപ്പത്തില് ഒരു സേവന മെഷ് വഴി.
5. SPIFFE/SPIRE നെ പരിഗണിക്കുക ക്ലസ്റ്ററുകളിലും ക്ലൌഡുകളിലും വിഎമ്മുകളിലും ഒരു ഐഡന്റിറ്റി സിസ്റ്റം ആവശ്യമുള്ളപ്പോൾ.

അതുകൊണ്ട്, അത് പരിശ്രമത്തിന് വിലപ്പെട്ടതാണോ?

അതെ, അതെ. സ്റ്റാറ്റിക് ക്രെഡൻഷ്യലുകൾ നീക്കം ചെയ്യുന്നത് ലംഘനങ്ങളുടെ ഏറ്റവും സാധാരണമായ കാരണങ്ങളിലൊന്ന് ഇല്ലാതാക്കുന്നു. ആദ്യത്തെ ഘട്ടം, ക്ലൌഡ് വർക്ക് ലോഡ് ഐഡന്റിറ്റി, CI OIDC എന്നിവ വളരെ എളുപ്പമാണ്.

എന്റെ അഭിപ്രായം: സേവനങ്ങൾ ഓരോ തവണയും അവർ ആരാണെന്ന് തെളിയിക്കണം, ആധികാരികത കാലഹരണപ്പെടും മുമ്പ് ആരെങ്കിലും അവയെ ദുരുപയോഗം ചെയ്യാം. പാസ് വേഡുകള് മനുഷ്യര് ക്കുള്ളതാണ്, നമ്മളും അവയെ ഉപേക്ഷിക്കുന്നു.

ഡെസ്ലി