osFoundry / Platform
प्रति-ऐप सीक्रेट्स वॉल्ट
शेड्यूल्ड रोटेशन के साथ एन्क्रिप्टेड सीक्रेट्स। रेस्ट पर मास्क्ड, हर रीड पर ऑडिटेड।
यह क्या है
प्रति-ऐप सीक्रेट वॉल्ट वह जगह है जहाँ osFoundry के भीतर बनाई गई आपकी ऐप्स और बैकएंड अपने क्रेडेंशियल रखते हैं: प्रोवाइडर API की, डेटाबेस पासवर्ड, OAuth टोकन, वेबहुक साइनिंग सीक्रेट। हर ऐप को उसका अपना वॉल्ट मिलता है, इसलिए एक ऐप द्वारा इस्तेमाल किया गया सीक्रेट दूसरी ऐप नहीं पढ़ सकती। वैल्यू रेस्ट पर एन्क्रिप्टेड रहती हैं और दिखाते समय मास्क कर दी जाती हैं, इसलिए किसी की का प्लेनटेक्स्ट किसी कॉन्फ़िग फ़ाइल, चैट लॉग या स्क्रीनशॉट में नहीं पड़ा रहता। आपकी ऐप रनटाइम पर सीक्रेट को नाम से पढ़ती है; असली वैल्यू वॉल्ट में ही रहती है।
रोटेशन मैनुअल नहीं, शेड्यूल पर होता है। आप किसी सीक्रेट के लिए एक अंतराल तय करते हैं और वॉल्ट यह ट्रैक करता है कि वह कब देय है, ताकि जिस टोकन को आप हर 90 दिन पर बदलना चाहते थे वह इसलिए एक साल तक चुपचाप ज़िंदा न रहे कि किसी को याद ही नहीं रहा। हर रीड ऑडिट होती है: वॉल्ट रिकॉर्ड करता है कि किस ऐप ने, कब, कौन-सा सीक्रेट निकाला, इसलिए अगर कोई क्रेडेंशियल लीक हो या गड़बड़ करे तो आपके पास एक ट्रेल होता है जो दिखाता है कि वह असल में कहाँ इस्तेमाल हुआ, अनुमान लगाने के बजाय।
चूँकि osFoundry एक bring-your-own-key, लोकल-फ़र्स्ट डेस्कटॉप वर्कस्पेस है, यह भी बाकी प्रोडक्ट के उसी सिद्धांत पर चलता है: आपके सीक्रेट आपके हैं, किसी रीसेलर के पास नहीं। वॉल्ट एक ही वर्कस्पेस में आपके चैट, एजेंट, ऐप्स, कोड और डेटा के साथ रहता है, इसलिए जिन की पर आपकी ऐप्स निर्भर हैं वे उसी जगह प्रबंधित होती हैं जहाँ आप उन्हें बनाते हैं, न कि एनवायरनमेंट फ़ाइलों और थर्ड-पार्टी डैशबोर्ड में बिखरी हुई। यहाँ सीक्रेट रखने पर कोई प्रति-सीट शुल्क नहीं है।
मुख्य क्षमताएँ
- प्रति-ऐप आइसोलेशन: हर ऐप को उसका अपना वॉल्ट मिलता है, इसलिए एक ऐप दूसरी ऐप के सीक्रेट नहीं पढ़ सकती
- रेस्ट पर एन्क्रिप्टेड और दिखाते समय मास्क: प्लेनटेक्स्ट की कभी कॉन्फ़िग फ़ाइल, लॉग या स्क्रीनशॉट में नहीं रहती
- शेड्यूल्ड रोटेशन हर सीक्रेट का अंतराल ट्रैक करता है और देय होने पर संकेत देता है, याददाश्त पर निर्भर हुए बिना
- ऑडिट लॉग रिकॉर्ड करता है कि किस ऐप ने कौन-सा सीक्रेट कब पढ़ा, जिससे लीक के बाद असली उपयोग का ट्रेल मिलता है
- ऐप्स रनटाइम पर सीक्रेट को नाम से रेफ़र करती हैं, जिससे असली वैल्यू कोड और चैट हिस्ट्री से बाहर रहती है
उपयोग के मामले
- सोलो बिल्डर: किसी ऐप के बैकएंड के लिए Stripe की और Postgres पासवर्ड रखता है, ताकि क्रेडेंशियल सोर्स में हार्डकोड न हों
- एजेंट डेवलपर: जिन प्रोवाइडर API की पर उनके ऑटोमेशन निर्भर हैं उन्हें हर तिमाही रोटेट करता है, env फ़ाइलें छाने बिना
- प्राइवेसी के प्रति सचेत टीम: क्लाइंट के OAuth टोकन डिवाइस पर एन्क्रिप्टेड रखती है और ऑडिट ट्रेल देखकर पुष्टि करती है कि किस ऐप ने उन्हें छुआ
सामान्य प्रश्न
सीक्रेट कहाँ स्टोर होते हैं और उन्हें कौन देख सकता है?
वे आपके osFoundry वर्कस्पेस में रहते हैं, रेस्ट पर एन्क्रिप्टेड और दिखाते समय मास्क। osFoundry bring-your-own-key और लोकल-फ़र्स्ट है, इसलिए आपके सीक्रेट किसी थर्ड पार्टी के पास न रखे जाते हैं न बेचे जाते हैं। हर ऐप का वॉल्ट अलग-थलग है, इसलिए कोई सीक्रेट केवल उसी ऐप से पढ़ा जा सकता है जिससे वह जुड़ा है।
शेड्यूल्ड रोटेशन कैसे काम करता है?
आप किसी सीक्रेट के लिए एक रोटेशन अंतराल तय करते हैं और वॉल्ट ट्रैक करता है कि वह कब देय है, ताकि पुराने पड़ते टोकन अनिश्चितकाल तक जीने के बजाय बदल दिए जाएँ। इससे आपकी ऐप्स और एजेंट जिन क्रेडेंशियल पर निर्भर हैं वे अपनी तयशुदा उम्र से ज़्यादा चुपचाप नहीं टिकते।
'हर रीड पर ऑडिट' से मुझे असल में क्या मिलता है?
वॉल्ट हर एक्सेस लॉग करता है: किस ऐप ने कौन-सा सीक्रेट निकाला और कब। अगर कोई क्रेडेंशियल लीक हो या कोई ऐप अप्रत्याशित व्यवहार करने लगे, तो आपके पास रिकॉर्ड होता है कि वह सीक्रेट असल में कहाँ इस्तेमाल हुआ, बजाय इसके कि आप सभी ऐप्स में अनुमान लगाते फिरें।