Глоссарий

Термины сгруппированы по темам. Для каждого термина приведена ссылка на страницу с подробным описанием.

Хранилище и шифрование

• Барьер (barrier) — криптографический слой между ядром Stronghold и бэкендом хранения. Все данные, записываемые в хранилище, шифруются барьером, а при чтении расшифровываются. Подробнее — в разделе «Обзор архитектуры».
• Связка ключей — набор ключей шифрования барьера (AES-256-GCM). Связка ключей хранится в зашифрованном виде и расшифровывается root-ключом. Подробнее — в разделе «Запечатывание и распечатывание».
• Root-ключ (root key) — ключ, которым зашифрована связка ключей. Сам root-ключ защищается механизмом seal: долями Shamir, HSM или KMS. Подробнее — в разделе «Запечатывание и распечатывание».
• Seal (запечатывание) — состояние, в котором Stronghold знает, где находятся данные, но не может их расшифровать. Запечатанный Stronghold отвечает только на ограниченный набор запросов, например о статусе. Подробнее — в разделе «Запечатывание и распечатывание».
• Unseal (распечатывание) — процесс получения root-ключа, после которого Stronghold может расшифровать связку ключей и обслуживать запросы. Подробнее — в разделе «Запечатывание и распечатывание».
• Ключи распечатывания (unseal keys) — доли, на которые при seal на основе Shamir делится ключ распечатывания. Для распечатывания нужно ввести пороговое число долей. Подробнее — в разделе «Запечатывание и распечатывание».
• Ключи восстановления (recovery keys) — доли ключа, которые выдаются вместо ключей распечатывания при автоматическом распечатывании. Они не распечатывают хранилище, но нужны для привилегированных операций, например генерации root-токена. Подробнее — в разделе «Запечатывание и распечатывание».
• Автоматическое распечатывание (auto-unseal) — режим, при котором root-ключ защищается внешним или встроенным механизмом (HSM, KMS, inner-cluster) и Stronghold распечатывается без ввода долей вручную. Подробнее — в разделе «Запечатывание и распечатывание».
• Seal wrap — дополнительное шифрование наиболее чувствительных внутренних данных механизмом seal поверх стандартного барьера. Подробнее — в разделе «Двойное шифрование (seal wrapping)».
• HSM (Hardware Security Module) — аппаратный модуль безопасности, который хранит ключи и выполняет криптографические операции. В Stronghold используется для защиты root-ключа (seal "pkcs11"). Подробнее — в разделе «Поддержка HSM».
• KMS (Key Management Service) — внешний сервис управления ключами, например Yandex Cloud KMS, который используется для автоматического распечатывания. Подробнее — в разделе «Yandex Cloud KMS».
• Управляемые ключи (managed keys) — ключи, которые хранятся во внешнем HSM или KMS и используются механизмами секретов, например PKI, без выгрузки закрытой части в Stronghold. Доступно в Stronghold EE. Подробнее — в разделе «Управляемые ключи».

Токены и аренды

• Токен (token) — основной способ аутентификации в Stronghold. С токеном связаны политики, TTL и метаданные. Подробнее — в разделе «Токен».
• Root-токен — токен с политикой root, которому разрешены любые операции. Используйте его только для начальной настройки и в экстренных случаях. Подробнее — в разделе «Токен».
• Accessor — ссылка на токен, с помощью которой можно просмотреть, продлить или отозвать токен, не зная его значения. Подробнее — в разделе «Токен».
• Служебный токен (service token) — тип токена по умолчанию. Хранится в Stronghold, поддерживает продление, отзыв и создание дочерних токенов. Подробнее — в разделе «Токен».
• Пакетный токен (batch token) — зашифрованный токен, который не хранится в Stronghold. Не продлевается, не отзывается вручную и не имеет accessor, но хорошо масштабируется. Подробнее — в разделе «Токен».
• Токен-сирота (orphan token) — токен без родителя. Не отзывается при отзыве токена, от имени которого был создан. Подробнее — в разделе «Токен».
• Периодический токен (periodic token) — токен без максимального срока жизни: при каждом продлении его TTL сбрасывается до заданного периода. Подробнее — в разделе «Токен».
• Хранилище токенов (token store) — встроенный метод аутентификации token, который создаёт и хранит токены. Не может быть отключён. Подробнее — в разделе «Токен».
• Аренда (lease) — метаданные, которые Stronghold создаёт для динамического секрета или токена: срок действия, возможность продления и идентификатор. Подробнее — в разделе «Аренда».
• TTL (Time To Live) — срок действия аренды или токена, по истечении которого они отзываются, если не продлены. Подробнее — в разделе «Аренда».
• Max TTL — максимальный срок, до которого можно продлевать аренду или токен. Задаётся на уровне системы, точки монтирования или роли. Подробнее — в разделе «Аренда».
• Явный максимальный TTL (explicit max TTL) — жёсткое ограничение времени жизни токена, которое нельзя превысить продлением. Подробнее — в разделе «Токен».
• Обёртывание ответа (response wrapping) — механизм, при котором Stronghold помещает ответ в cubbyhole одноразового токена обёртывания и возвращает только этот токен. Подробнее — в разделе «Обёртывание ответа».

Аутентификация и политики

• Метод аутентификации (auth method) — компонент, который проверяет клиента (например, по токену Kubernetes, JWT или паролю) и выдаёт ему токен с политиками. Подробнее — в разделе «Методы аутентификации».
• AppRole — метод аутентификации для приложений и автоматизации по паре role_id и secret_id. Подробнее — в разделе «Метод AppRole».
• role_id / secret_id — идентификатор роли AppRole (не секретный, аналог имени пользователя) и секретный идентификатор (аналог пароля), которые вместе используются для входа. Подробнее — в разделе «Метод AppRole».
• Политика (policy) — документ на HCL или JSON, который определяет, какие операции разрешены на каких путях. По умолчанию доступ запрещён. Подробнее — в разделе «Политики».
• Возможность (capability) — разрешённая операция на пути в политике: create, read, update, patch, delete, list, sudo или deny. Подробнее — в разделе «Политики».
• Шаблоны путей (path templating) — подстановка в путь политики параметров сущности, например {{identity.entity.id}}, чтобы одна политика давала каждому клиенту доступ к его собственным секретам. Подробнее — в разделе «Политики».
• Политика паролей (password policy) — набор правил генерации паролей для динамических учётных данных. Подробнее — в разделе «Политика паролей».
• MFA (многофакторная аутентификация) — дополнительная проверка (например, TOTP) при входе поверх основного метода аутентификации. Подробнее — в разделе «2FA / MFA».

Механизмы секретов

• Механизм секретов (secrets engine) — компонент, который хранит, генерирует или шифрует данные. Подключается по пути и определяет собственный API. Подробнее — в разделе «Механизмы секретов».
• Mount (точка монтирования) — путь, по которому подключён механизм секретов или метод аутентификации, например kv/ или auth/ldap/. Подробнее — в разделе «Механизмы секретов».
• Динамический секрет (dynamic secret) — учётные данные, которые Stronghold создаёт по запросу во внешней системе (например, в базе данных) и автоматически отзывает по истечении аренды. Подробнее — в разделе «Механизм секретов баз данных».
• Статическая роль (static role) — сопоставление роли Stronghold с существующей учётной записью во внешней системе, пароль которой Stronghold хранит и периодически меняет. Подробнее — в разделе «Механизм секретов баз данных».
• Cubbyhole — личное хранилище секретов, привязанное к токену. Данные доступны только этому токену и удаляются вместе с ним. Подробнее — в разделе «Механизм секретов Cubbyhole».
• KV (Key/Value) — механизм секретов для хранения произвольных статических секретов. Версия 2 поддерживает версионирование. Подробнее — в разделе «KV».
• Плагин (plugin) — встроенный или внешний модуль, реализующий механизм секретов, метод аутентификации или плагин базы данных. Подробнее — в разделе «Плагины Stronghold».

Идентификационные данные и пространства имён

• Сущность (entity) — представление клиента (человека или сервиса) в идентификационных данных (Identity). Объединяет учётные записи из разных методов аутентификации. Подробнее — в разделе «Идентичность».
• Псевдоним (alias) — связь сущности или группы с учётной записью или группой в конкретном методе аутентификации. Подробнее — в разделе «Идентичность».
• Группа (group) — набор сущностей с общими политиками. Внешняя группа сопоставляется с группой во внешней системе через псевдоним. Подробнее — в разделе «Идентичность».
• Пространство имён (namespace) — изолированная область Stronghold со своими механизмами секретов, методами аутентификации, политиками и токенами. Доступно в Stronghold EE. Подробнее — в разделе «Пространства имён».

Кластер, репликация и резервное копирование

• Raft — встроенное интегрированное хранилище Stronghold с консенсусом между узлами кластера. Подробнее — в разделе «Обзор архитектуры».
• Active node — узел HA-кластера, который обрабатывает запросы на запись. Подробнее — в разделе «Архитектура репликации: Stronghold и Stronghold EE».
• Standby — неведущий узел HA-кластера, который готов стать active node при отказе текущего. Подробнее — в разделе «Архитектура репликации: Stronghold и Stronghold EE».
• Performance standby — горизонтальное масштабирование чтений внутри кластера: standby-узел Stronghold EE обслуживает запросы на чтение локально и перенаправляет запись на active node. Подробнее — в разделе «Performance standby».
• Primary / secondary — роли кластеров в межкластерной репликации: primary — источник данных, secondary получает их. Подробнее — в разделе «Межкластерная репликация».
• WAL (Write-Ahead Log) — журнал изменений, через который primary передаёт данные на secondary при репликации. Подробнее — в разделе «Архитектура репликации: Stronghold и Stronghold EE».
• Performance-репликация (PR, performance replication) — вид межкластерной репликации, при котором secondary-кластер получает общее состояние primary, обслуживает чтения локально и перенаправляет записи на primary. Подробнее — в разделе «Performance-репликация (PR)».
• Репликация для аварийного восстановления (DR, disaster recovery) — вид межкластерной репликации с горячим резервным кластером, который можно повысить до primary при аварии. Подробнее — в разделе «Репликация для аварийного восстановления (DR)».
• Promote / demote — операции повышения secondary-кластера до primary и понижения primary до secondary. Подробнее — в разделе «Репликация для аварийного восстановления (DR)».
• Снимок (snapshot) — резервная копия данных интегрированного хранилища Raft, из которой можно восстановить кластер. Подробнее — в разделе «Резервное копирование в Stronghold».

Аудит

• Аудит-устройство (audit device) — компонент, который записывает журнал всех запросов и ответов Stronghold в файл, syslog или сокет. Чувствительные значения в журнале хешируются. Доступно во всех редакциях Stronghold. Подробнее — в разделе «Аудит в Stronghold».