De secretos compartidos a identidades por carga

5 tareas · 38 min · Principiante

Una carga de trabajo es un programa que corre sin una persona delante: un servicio, una tarea programada, un contenedor. Durante años se le dio acceso con un secreto escrito en una variable o en un archivo, y el mismo secreto terminó repartido entre varias cargas. En esta sala ves por qué eso es un problema y qué cambia cuando cada carga tiene una identidad propia. En Mercurio Pagos, una empresa de recaudo en línea, recibes el inventario de secretos de su clúster, su política y el registro de uso. Todo es lectura de exportaciones ficticias, con autorización de la gerencia de tecnología.

0 de 5 · 0%

Objetivo de la sala

Un secreto compartido es el mismo valor en manos de varias cargas. Si una de ellas lo usa, el sistema que lo recibe solo sabe que alguien conocía el valor, no cuál carga fue. Además, rotarlo obliga a coordinar a todas a la vez, y por eso casi nunca se rota. Una identidad por carga cambia la pregunta: cada carga demuestra quién es, y los permisos se dan a esa identidad y no a un valor que circula.

Hay tres señales que se buscan en un inventario: el mismo secreto en muchas cargas, secretos que nunca se rotan y usos desde lugares que no son del clúster.

Responde para continuar

¿Qué problema principal tiene que varias cargas usen el mismo secreto?

La carga más antigua pierde su acceso cuando una nueva copia el mismo valor El secreto se vuelve inválido apenas lo usa la segunda carga que lo recibe Los secretos compartidos no pueden guardarse en el almacén del orquestador El registro no distingue qué carga lo usó y rotarlo exige coordinar a todas

El inventario lista, por cada secreto, las cargas que lo usan separadas por una barra vertical. Cuantas más cargas lo comparten, mayor es el daño si se filtra y más difícil es rotarlo. Léelo y quédate con el que más cargas reúne.

ls secretos
cat secretos/inventario-de-secretos.csv

Responde para continuar

¿Qué secreto lo comparten más cargas de trabajo?

La política de la empresa fija un máximo de días desde la última rotación y la fecha de la revisión. Aplica la regla a cada secreto usando la columna de última rotación, no la de creación: un secreto antiguo pero rotado hace poco cumple.

cat secretos/politica-de-secretos.txt
cat secretos/inventario-de-secretos.csv

Responde para continuar

¿Cuántos secretos superan el límite de días sin rotación a la fecha de la revisión?

El registro de uso muestra desde qué dirección se presentó cada secreto. Las cargas del clúster salen del rango de pods que fija la política. Un uso desde otra dirección no prueba un robo, pero es un hecho que exige abrir un caso y preguntar a quien corresponda, con autorización.

cat secretos/registro-de-uso-de-secretos.log
grep desconocida secretos/registro-de-uso-de-secretos.log

Responde para continuar

¿Desde qué dirección se usó un secreto fuera del rango de pods del clúster?

Pasar de secretos compartidos a identidades por carga no se hace de golpe. Se empieza por entender quién usa qué, se emite una identidad a cada carga y se retira el secreto cuando el registro muestra que ya nadie lo presenta. Retirarlo antes de verificar rompe servicios de pagos.

Responde para continuar

¿Qué orden de migración reduce el riesgo para el servicio?

Mantener el secreto indefinidamente para que ninguna carga deje de funcionar Dar a cada carga su identidad, comprobar el registro y luego retirar el secreto Rotar el secreto cada día y entregar la nueva copia a todas las cargas por igual Borrar primero el secreto compartido y corregir las cargas que fallen después

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué un secreto compartido no identifica a nadie

2 El secreto con más dueños Lab

3 Los secretos que nadie rota Lab

4 El uso que no es del clúster Lab

5 El primer paso de la migración

Whoami-Labs Pro utiliza cookies