Secrets management

Специализирано управление на API keys, passwords, certificates и tokens.

Secrets не стоят в code/config/chat. Издават се dynamically, rotate-ват се и се достъпват по identity.

API key в:

• Git repo;
• CI variable без scope;
• Slack message;
• .env в backup;
• developer laptop.

Един secret се копира толкова пъти, че никой не знае къде живее.

Workload получава short-lived credential по identity, вместо developer да му вгради static key.

Ако този secret изтече днес, можете ли:

1. да го откриете;
2. да го revoke-нете;
3. да rotate-нете зависимите системи;
4. да разберете къде е използван?

Ако не, проблемът не е само secret storage, а secret lifecycle.

• Vault/KMS.
• Short-lived credentials.
• Automated rotation.
• Secret scanning in repos/CI.
• No long-lived cloud access keys.

Ако workload identity е компрометирана, attacker може легитимно да поиска secret.