Gesaan
Pelanggan membiarkan kunci API aktif selama bertahun-tahun. Nilaikan konsol pemutaran kelayakan, termasuk pengguna sasaran, skop MVP, penghijrahan dwi-kunci, kebolehauditan, dan ukuran kejayaan.
Senario dan kekangan
Platform ini mempunyai kunci peribadi, kunci pasukan, dan token perkhidmatan. Pelanggan meletakkan kelayakan dalam CI, fungsi, dan persekitaran setempat; sesetengah sistem tidak boleh memegang dua kunci dan sesetengah pentadbir tidak boleh membaca nilai rahsia. Pemutaran mesti boleh dijeda, diundur semula (rollback), dan tidak sekali-kali memaparkan rahsia penuh.
Perkara yang diuji
Ujian ini adalah untuk mengubah keupayaan keselamatan menjadi aliran kerja yang boleh diterima guna. Stripe menganggap penciptaan, tamat tempoh, dan pemutaran kunci sebagai keupayaan kitaran hayat; Cloudflare mendedahkan tindakan pemutaran token perkhidmatan; perlindungan tolak GitHub menunjukkan bahawa pencegahan dan pengendalian pintasan memerlukan sempadan tanggungjawab yang jelas.
Pendekatan rujukan
Segmenkan mengikut jenis kelayakan dan model penggunaan. MVP menawarkan peringatan tamat tempoh, pemilik dan skop, pratonton pemutaran, penciptaan kunci baharu, pertindihan singkat, pengesahan kunci baharu, pembatalan kunci lama, dan peristiwa audit. Tunjukkan hanya awalan, masa penciptaan, dan penggunaan terakhir secara lalai. Bagi sistem kunci tunggal, tawarkan jeda pembatalan, senarai semak penghijrahan, dan pengesahan manusia dan bukannya pembatalan automatik.
Butiran kritikal
Gunakan operasi dan keadaan idempoten: pratonton, cipta, sahkan, aktifkan, batal. Tentukan pertindihan minimum, peringatan kunci lama yang tidak digunakan, dan pengunduran semula kegagalan. Maklumkan pemilik, pentadbir, dan pasukan keselamatan. Ukur kadar penyiapan, kelayakan yang tamat tempoh, kegagalan yang disebabkan oleh pemutaran, masa penghijrahan, dan baki penggunaan selepas pembatalan.
Perangkap biasa
Memaksa setiap kunci untuk diputarkan pada satu tarikh yang sama; memaparkan rahsia penuh; menganggap masa penggunaan terakhir sebagai sempurna; menawarkan peringatan tanpa penghijrahan; dan mengabaikan kebenaran yang diwakilkan, akaun perkhidmatan, atau cache wilayah.
Rubrik penilaian
Jawapan yang kukuh menentukan tahap risiko, sempadan MVP, laluan dwi-kunci dan kunci tunggal, reka bentuk kebenaran dan audit, serta metrik nilai menggunakan kadar kegagalan dan penyiapan. "Menambah butang putar" adalah tidak mencukupi.
Soalan susulan
Adakah anda akan berjanji untuk menggantikan rahsia CI pelanggan secara automatik?
Sahkan skop penyepaduan dan kebenaran. Utamakan pertindihan dwi-kunci yang singkat, pengesahan, dan pengunduran semula. Jika kejayaan menulis tidak dapat disahkan, jangan batalkan kunci lama; dedahkan pengesahan manusia sebagai keadaan yang eksplisit.
Bagaimanakah anda mengendalikan kunci yang disyaki telah bocor?
Asingkan pembatalan kecemasan daripada pemutaran yang dirancang. Tunjukkan radius letupan (blast radius), penggunaan terakhir, dan penciptaan penggantian; beri amaran tentang kesan yang tidak boleh dipulihkan sebelum pembatalan dan rekodkan keputusan tersebut dalam audit serta pemberitahuan.
Bagaimanakah anda memastikan konsol tidak menjadi permukaan kebocoran rahsia?
Gunakan keistimewaan paling sedikit (least privilege), paparan sekali sahaja, token operasi jangka pendek, penyuntingan (redaction), dan audit akses yang lengkap. Simpan nilai rahsia dalam storan terkawal; UI hanya mengendalikan pengecam dan keadaan.