Aller au contenu principal

Sécurité et confidentialité

Disponible

Fonctionnalité déployée et prise en charge. Les champs et commandes décrits ici sont stables au sein de la version v1alpha1.

Cette page résume ce que la plateforme garantit, et ce que vous devez savoir pour en profiter.

Vos ressources sont isolées​

  • Tout ce que vous créez appartient à votre tenant. Les autres clients ne voient ni vos applications, ni vos secrets, ni vos domaines, ni vos images, et ne peuvent pas les joindre.
  • Le tenant d'une action est toujours celui de votre session. Un manifeste ne peut pas viser un autre tenant : vous n'avez donc jamais à en préciser un.
  • Pour travailler sur un autre tenant, il faut y avoir été invité (sng tenant assume).

Vos applications sont protégées par défaut​

  • Un service n'accepte que le trafic que vous autorisez : celui des autres services de la même application, celui des applications que vous listez dans allowFrom, et celui d'Internet s'il est exposé. Rien d'autre ne lui parvient.
  • Un service n'accède à Internet que si vous le demandez (egress: [internet]).
  • Vos conteneurs tournent sans privilèges administrateur. Une image qui exige de tourner en administrateur ne démarre pas : utilisez une image prévue pour un utilisateur non privilégié.
  • Chaque adresse exposée reçoit automatiquement un certificat HTTPS, renouvelé sans intervention.

Vos secrets restent secrets​

  • Les valeurs de vos secrets sont chiffrées dès leur enregistrement et ne figurent jamais dans vos manifestes : un manifeste SSMSecret déclare un secret, il n'en contient pas la valeur.
  • Chaque lecture d'une valeur est vérifiée et tracée.
  • Chaque modification crée une nouvelle version : vous pouvez relire une version précédente.
  • Une rotation périodique remplace la valeur automatiquement ; vos applications reçoivent la nouvelle valeur sans action de votre part.

Les accès sont explicites​

  • Toute action exige une permission accordée par une policy de votre tenant. Sans permission, la réponse est un refus ; un refus explicite l'emporte toujours sur une autorisation.
  • Si la plateforme ne peut pas vérifier une permission, elle refuse plutôt que d'autoriser : réessayez quelques instants plus tard.
  • Il n'existe aucune clé d'API permanente. Une personne se connecte avec sng sso login, une CI avec sa propre identité (voir Déployer sans secret), une application avec un identifiant client que vous déclarez.
  • Une session de tenant dure une heure au plus ; la CLI la renouvelle pour vous. sng sso logout y met fin avant l'heure, en quelques secondes, pour toutes les sessions ouvertes avec votre compte.

Vos domaines vous appartiennent​

  • Un domaine que vous apportez n'est utilisable qu'après la preuve que vous le possédez, et aucun autre client ne peut ensuite l'utiliser.
  • Seules des adresses publiques peuvent être publiées dans vos enregistrements DNS.

Vos images sont privées​

  • Un dépôt d'images n'est accessible qu'aux personnes, pipelines et clés d'accès à qui vous en donnez le droit, sauf si vous le rendez public.
  • Les identifiants d'une clé d'accès au registre sont renouvelés automatiquement selon la fréquence que vous choisissez. Par défaut, ils ne servent qu'au tirage des images : aucune application ne peut les lire, sauf si vous l'autorisez explicitement (ci: true).

Ce que vous pouvez faire de votre côté​

  • Donnez à chacun le strict nécessaire : readonly pour la lecture, des policies ciblées plutôt que admin pour tous.
  • Faites déployer vos pipelines sans secret.
  • Déclarez vos mots de passe en secrets et laissez la plateforme les générer et les faire tourner.
  • N'exposez sur Internet que les services qui doivent l'être.

Limites d'usage​

Pour garantir un service équitable, l'API accepte 300 requêtes par minute et par adresse IP. Au-delà, elle répond 429 et indique quand réessayer. Voir Limites.