osFoundry / Platform
Хранилище секретов на приложение
Зашифрованные секреты с плановой ротацией. Маскируются в покое, аудируются при каждом чтении.
Что это
Хранилище секретов для каждого приложения — это место, где приложения и бэкенды, которые вы создаёте внутри osFoundry, хранят свои учётные данные: API-ключи провайдеров, пароли к базам данных, токены OAuth, секреты подписи вебхуков. У каждого приложения своё хранилище, поэтому секрет, используемый одним приложением, не может прочитать другое. Значения шифруются в покое и маскируются при отображении, так что открытый текст ключа не лежит в конфигурационном файле, логе чата или на скриншоте. Ваше приложение читает секрет по имени во время выполнения; исходное значение остаётся в хранилище.
Ротация выполняется по расписанию, а не вручную. Вы задаёте для секрета периодичность, и хранилище отслеживает, когда наступает срок, чтобы токен, который вы собирались менять каждые 90 дней, не прожил втихую целый год лишь потому, что о нём никто не вспомнил. Каждое чтение аудируется: хранилище записывает, какое приложение и когда извлекло тот или иной секрет, так что при утечке или подозрительном поведении учётных данных у вас есть след, показывающий, где они действительно использовались, вместо догадок.
Поскольку osFoundry — это настольная рабочая среда с принципом bring-your-own-key и приоритетом локальности, здесь действует тот же принцип, что и во всём продукте: ваши секреты принадлежат вам, а не находятся у реселлера. Хранилище соседствует с вашим чатом, агентами, приложениями, кодом и данными в едином рабочем пространстве, поэтому ключи, от которых зависят ваши приложения, управляются там же, где вы их создаёте, а не разбросаны по файлам окружения и сторонним панелям. За хранение секретов здесь нет платы за место.
Ключевые возможности
- Изоляция по приложениям: у каждого приложения своё хранилище, поэтому одно приложение не может прочитать секреты другого
- Шифрование в покое и маскирование при отображении: открытые ключи никогда не лежат в конфигурационных файлах, логах или на скриншотах
- Ротация по расписанию отслеживает периодичность каждого секрета и сигнализирует о сроке, не полагаясь на память
- Журнал аудита фиксирует, какое приложение прочитало какой секрет и когда, давая реальный след использования после утечки
- Приложения ссылаются на секреты по имени во время выполнения, удерживая исходные значения вне кода и истории чата
Сценарии использования
- Одиночный разработчик: хранит ключ Stripe и пароль Postgres для бэкенда приложения, чтобы учётные данные не были зашиты в исходный код
- Разработчик агентов: ежеквартально ротирует API-ключи провайдеров, от которых зависят его автоматизации, не роясь в файлах окружения
- Команда, заботящаяся о приватности: держит токены OAuth клиентов зашифрованными на устройстве и просматривает след аудита, чтобы подтвердить, какое приложение к ним обращалось
Часто задаваемые вопросы
Где хранятся секреты и кто может их видеть?
Они находятся в вашем рабочем пространстве osFoundry, зашифрованные в покое и замаскированные при отображении. osFoundry работает по принципу bring-your-own-key и с приоритетом локальности, поэтому ваши секреты не хранятся у третьих лиц и не перепродаются. Хранилище каждого приложения изолировано, поэтому секрет доступен для чтения только тому приложению, которому он принадлежит.
Как работает ротация по расписанию?
Вы задаёте для секрета периодичность ротации, и хранилище отслеживает наступление срока, так что устаревающие токены обновляются, а не живут бесконечно. Это не даёт учётным данным, от которых зависят ваши приложения и агенты, втихую пережить отведённый им срок.
Что на деле даёт «аудит при каждом чтении»?
Хранилище записывает каждый доступ: какое приложение извлекло какой секрет и когда. Если учётные данные утекают или приложение начинает вести себя неожиданно, у вас есть запись о том, где этот секрет действительно использовался, вместо того чтобы гадать по всем своим приложениям.