Temu Duga Reka Bentuk Sistem: Mereka Bentuk Perkhidmatan Pengurusan Rahsia Berbilang Penyewa (Multi-Tenant Secrets Management Service)

Gesaan dan Konteks yang Berkenaan

Reka bentuk perkhidmatan pengurusan rahsia untuk platform berbilang penyewa. Rahsia boleh berupa kelayakan pangkalan data, token API, kunci peribadi, atau sijil. Sistem ini menyimpan 20 juta nama rahsia aktif dengan purata tiga versi yang dikekalkan. Nilai berpurata 2 KiB dan tidak boleh melebihi 64 KiB. Trafik puncak ialah 100,000 bacaan dan 2,000 penulisan versi sesaat. Di rantau asal rahsia tersebut, bacaan yang berjaya harus diselesaikan di bawah 50 milisaat pada p99.

Setiap rantau merangkumi tiga zon ketersediaan. Penulisan yang diakui oleh rantau asal mesti bertahan terhadap kehilangan satu zon. Sasaran pemulihan bencana (DR) bagi kehilangan keseluruhan rantau ialah RTO selama 15 minit dan RPO selama satu minit. Jumlah volum dan objektif tersebut merupakan andaian temu duga, bukan had yang diterbitkan untuk produk rahsia komersial. Jika perniagaan memerlukan sifar kehilangan data selepas kegagalan serantau, calon mesti secara eksplisit membayar kos untuk konsensus rentas rantau segerak atau sempadan ketahanan setara yang lain.

Model ancaman merangkumi syot kilat (snapshot) pangkalan data yang dicuri, sandaran yang terjejas, kesilapan pembenaran rentas penyewa, pengendali yang mempunyai akses kepada storan biasa, pembalakan tidak sengaja, dan kecurian satu hos satah data (data-plane host). Ia tidak mendakwa dapat menghalang beban kerja yang telah pun diberi kuasa daripada menggunakan nilai yang diperolehnya secara sah. Reka bentuk ini mesti mengurangkan hak istimewa beban kerja tersebut dan jangka hayat kelayakannya, mengekalkan atribusi, serta mengehadkan radius impak kompromi (blast radius).

Skop merangkumi pengesahan beban kerja, penilaian dasar, rahsia statik dan dinamik, penyulitan, versi tidak boleh ubah, putaran berperingkat, pembatalan, pajakan, audit, replikasi, dan pemulihan. Membina penyedia identiti organisasi, pangkalan data yang menggunakan kelayakan yang dijana, dan perkhidmatan pengurusan kunci kriptografi tujuan umum merupakan kebergantungan luaran. Bahan temu duga kejuruteraan keselamatan awam yang tersedia pada tahun 2026 merangkumi gesaan khusus untuk mereka bentuk perkhidmatan pengurusan rahsia dan menyenaraikan pengurus rahsia perkhidmatan mikro sebagai latihan reka bentuk sistem keselamatan. Ini menyokong kerelevanan topik semasa tanpa membuktikan kekerapannya di mana-mana syarikat tertentu.

Perkara yang Dinilai oleh Penemu Duga

Isyarat pertama ialah sempadan perlindungan yang tepat. Menyatakan "sulitkan pangkalan data" membiarkan kunci penyahsulitan berada di sebelah teks sifer dan tidak menjelaskan kompromi mana yang dibendung. Jawapan yang kukuh memisahkan punca yang dilindungi perkakasan atau KMS, kunci penyulitan kunci (key-encryption keys) berskop penyewa, kunci penyulitan data (data-encryption keys) bagi setiap versi, dan storan teks sifer biasa. Ia juga mengenal pasti di mana teks biasa boleh wujud secara seketika.

Isyarat kedua ialah pembenaran pada setiap permintaan. Pengasingan penyewa tidak boleh bergantung pada awalan laluan yang dibekalkan oleh pemanggil. Perkhidmatan ini memperoleh penyewa, beban kerja, persekitaran, dan peranan daripada identiti yang disahkan, menilai dasar berversi untuk tindakan dan sumber yang tepat, serta menyertakan fakta tersebut dalam peristiwa audit. Pengesahan, pembenaran, penyulitan, dan pengauditan ialah kawalan yang berbeza.

Isyarat ketiga ialah penaakulan kitaran hayat. Nilai baharu, pertukaran kunci pembalut kriptografi, dan pertukaran kelayakan dalam pangkalan data luaran merupakan tiga operasi yang berbeza. Putaran merentasi sistem luaran bukanlah satu transaksi pangkalan data atomik. Ia memerlukan peringkat yang tahan lasak, peraturan pertindihan, keidempotanan (idempotency), pengujian, pampasan, dan penyelarasan.

Isyarat keempat ialah semantik pembatalan yang jujur. Menolak bacaan pada masa hadapan tidak memadamkan kata laluan statik yang telah disalin ke dalam sesuatu proses. Pembatalan kecemasan yang berkesan juga melumpuhkan atau memutarkan kelayakan pada sistem yang menerimanya. Kelayakan dinamik boleh menawarkan tamat tempoh dan pembatalan yang lebih kukuh kerana sistem sasaran mengambil bahagian dalam pajakan tersebut.

Akhir sekali, calon harus mengimbangi kependaman, keselamatan, dan ketersediaan. Memanggil HSM untuk setiap satu daripada 100,000 bacaan sesaat biasanya merupakan kesesakan yang salah. Menyimpan teks biasa dalam cache teragih kongsi ialah penyelesaian yang salah. Jawapan tersebut harus menggunakan hierarki kunci, cache memori terlindung berskop sempit, had dasar basi (stale-policy) yang eksplisit, dan mod kegagalan yang telah diuji.

Soalan untuk Diberi Penjelasan Sebelum Menjawab

• Apakah jenis rahsia yang berada dalam skop? Nilai statik legap memerlukan storan versi. Pengguna pangkalan data dan sijil juga mungkin menyokong pengeluaran dinamik dan pembatalan pihak sasaran.
• Siapa yang membaca rahsia? Utamakan identiti beban kerja dan sesi jangka pendek. Paparan manusia, jika dibenarkan sama sekali, memerlukan kelulusan yang lebih ketat, pengesahan langkah-naik (step-up authentication), dan dasar audit yang berasingan.
• Apakah yang dijanjikan oleh pembatalan? Perkhidmatan ini boleh menolak bacaan baharu serta-merta. Membatalkan nilai statik yang telah disalin memerlukan sistem hiliran memutarkan atau melumpuhkannya.
• Apakah ketekalan yang diperlukan oleh current? Reka bentuk ini menjadikan kenaikan pangkat (promotion) dan pembatalan boleh dilinearkan (linearizable) bagi setiap rahsia di rantau asalnya. Pemanggil juga boleh meminta versi tidak boleh ubah secara eksplisit.
• Bolehkah sesebuah rantau gagal dengan sifar kehilangan data? RPO DR yang dinyatakan ialah satu minit. RPO sifar memerlukan pengakuan rentas rantau segerak dan mengubah pertukaran antara kependaman dan ketersediaan.
• Bolehkah aplikasi menggunakan cache tempatan semasa gangguan? Hanya dasar yang eksplisit boleh membenarkan cache ejen yang disulitkan dan terikat masa untuk rahsia statik terpilih. Ia melemahkan jaminan pembatalan serta-merta.
• Berapa besarkah nilai dan versi? Gesaan ini mengehadkan nilai pada 64 KiB dan mengandaikan tiga versi yang dikekalkan secara purata. Dokumen besar tergolong dalam reka bentuk storan objek disulitkan yang berbeza.
• Apakah yang mesti terkandung dalam rekod audit? Prinsipal, beban kerja, penyewa, pengecam sumber, tindakan, versi dasar, keputusan, ID permintaan, rantau, dan masa; tidak sekali-kali nilai teks biasa.
• Siapa yang boleh mentadbir punca kepercayaan (root of trust)? Pengasingan tugas, akses kecemasan (break-glass) yang dikawal korum, dan latihan latih tubi pemulihan adalah diperlukan. Pentadbir harian sejagat membatalkan pengasingan penyewa.

Rangka Kerja Jawapan 30 Saat

"Saya akan memisahkan satah kawalan dasar dan pengarangan daripada satah data bacaan berkependaman rendah. Beban kerja mengesahkan identiti dengan identiti platform jangka pendek; perkhidmatan memperoleh penyewanya dan menilai dasar hak istimewa paling rendah berversi untuk rahsia dan tindakan yang tepat. Setiap versi rahsia yang tidak boleh ubah disulitkan dengan kunci data rawak menggunakan penyulitan yang disahkan. Kunci data tersebut dibalut oleh kunci penyewa, manakala HSM atau KMS melindungi punca yang membuka balutan kunci penyewa; storan biasa hanya melihat teks sifer dan kunci yang dibalut. Korum transaksi serantau secara atomik menambahkan versi dan menggerakkan penunjuk current dengan compare-and-set. Putaran ialah aliran kerja cipta, pasang, uji, naikkan pangkat, tindih, dan persarakan yang tahan lasak, kerana sasaran luaran tidak boleh menyertai satu transaksi. Kelayakan dinamik membawa pajakan yang diperbaharui atau dibatalkan oleh pengeluar. Saya akan menyimpan teks sifer dalam cache dan menyimpan kunci yang dibuka balutan secara seketika hanya di dalam memori perkhidmatan yang diperkukuh, tidak sekali-kali dalam cache teks biasa yang dikongsi. Audit dihantar ke talian paip tambah-sahaja (append-only) yang dilindungi secara berasingan. Saya akan mengesahkan penolakan rentas penyewa, kenaikan pangkat serentak, kehilangan kunci, gangguan KMS, pembatalan tersekat, kebocoran log, dan pemulihan serantau penuh."

Selami Terperinci Langkah Demi Langkah

Langkah 1: Ubah gesaan menjadi varian tak berubah (invariants) dan sempadan ancaman

Mulakan dengan lima varian tak berubah:

1. A request can address only a tenant derived from authenticated identity.
2. Ordinary databases, queues, logs, traces, and backups never receive plaintext values or plaintext keys.
3. A published version is immutable; promotion only changes a version pointer.
4. Every allow and deny decision emits an audit event without the value.
5. Acknowledged regional writes survive one availability-zone failure.

Varian tak berubah ini masih meninggalkan risiko baki. Beban kerja yang dibenarkan menerima teks biasa dan boleh dikompromi. Proses satah data memegang bahan kunci yang dibuka balutan dan teks biasa buat seketika. Pentadbir punca kepercayaan yang berniat jahat mungkin melangkaui dasar biasa. Kurangkan risiko tersebut dengan identiti jangka pendek, dasar sempit, pengasingan proses, pelumpuhan longgokan teras (core dumps), memori terlindung, audit bebas, pengasingan tugas, dan skop kunci yang kecil. Jangan mendakwa bahawa penyulitan semasa rehat menyelesaikan kompromi masa jalanan (runtime).

Langkah 2: Pisahkan satah kawalan daripada satah data bacaan

Satah kawalan menguruskan penyewa, dasar, metadata rahsia, versi baharu, kerja putaran, kelulusan, dan tindakan kecemasan. Kadar penulisannya lebih rendah, dan ia mengutamakan pengesahan ketat serta aliran kerja yang boleh diaudit. Satah data mengesahkan beban kerja, menilai dasar, menyahsulit versi yang dibenarkan, dan mengembalikannya melalui TLS yang disahkan bersama (mTLS). Laluan panasnya (hot path) mesti kekal kecil.

Setiap penyewa mempunyai rantau asal untuk penulisan rahsia dan dasar yang berwibawa. Korum transaksi tiga zon di rantau tersebut melakukan komit terhadap metadata, teks sifer, penunjuk versi, pajakan, rekod keidempotanan, dan peti keluar audit (audit outbox). Nod bacaan boleh diskalakan secara mendatar, tetapi bacaan current melalui stor ketekalan kukuh rantau asal atau replika dengan penghadang bacaan (read barrier) yang terbukti. Replika basi tidak boleh membangkitkan semula versi yang telah dibatalkan.

Identiti datang daripada penyedia identiti platform melalui mekanisme seperti sijil beban kerja atau token akaun perkhidmatan yang ditandatangani. Perkhidmatan rahsia mengesahkan pengeluar, khalayak, tamat tempoh, identiti beban kerja, dan pengikatan saluran, kemudian memetakan identiti yang dipercayai kepada penyewa dan peranan. Klien tidak boleh mengatasi penyewa tersebut dengan pengepala (header).

Langkah 3: Tentukan API kecil dan model data tidak boleh ubah

Satu API yang mungkin ialah:

POST /v1/secrets/{path}/versions
  { value, idempotencyKey, expectedCurrentVersion? }
  -> { secretId, version, status: "PENDING" }

POST /v1/secrets/{path}/versions/{version}/promote
  { expectedCurrentVersion, idempotencyKey }
  -> { currentVersion }

GET /v1/secrets/{path}?version=current
  -> { value, version, expiresAt? }

POST /v1/dynamic/{role}/credentials
  { requestedTtl, idempotencyKey }
  -> { value, leaseId, expiresAt, renewable }

POST /v1/leases/{leaseId}/renew
POST /v1/leases/{leaseId}/revoke

Laluan ialah nama sumber, bukan bukti pembenaran. Pelayan menormalkannya sekali, menolak pengekodan yang samar-samar, memperoleh penyewa daripada identiti, dan menyemak dasar khusus tindakan.

Secret(secret_id, tenant_id, canonical_path, state,
       current_version, policy_ref, created_at)

SecretVersion(secret_id, version, status, ciphertext, nonce, auth_tag,
              wrapped_dek, tenant_kek_version, content_fingerprint_hmac,
              created_by, created_at)

Policy(policy_id, tenant_id, version, document, state, created_at)

Lease(lease_id, tenant_id, secret_id, principal_id, target_ref,
      status, expires_at, renewable_until, last_error)

Idempotency(tenant_id, principal_id, operation, key,
            request_fingerprint_hmac, result_ref, expires_at)

(tenant_id, canonical_path) dan (secret_id, version) adalah unik. Baris versi tidak pernah mengubah muatan yang disulitkan. Kenaikan pangkat menggunakan kemas kini bersyarat pada current_version; dua pentadbir yang berlumba-lumba untuk menaikkan pangkat daripada versi 7 tidak boleh menulis ganti satu sama lain secara senyap. Peti keluar audit dikomitkan dengan setiap perubahan keadaan dan kemudiannya dieksport ke storan yang dikawal secara berasingan. Cap jari ialah HMAC berkunci yang dibuat dengan kunci berskop penyewa yang berasingan, bukan cincangan mentah (raw hashes) bagi kelayakan berentropi rendah yang boleh diuji secara luar talian oleh syot kilat yang dicuri.

Langkah 4: Bina hierarki penyulitan sampul

Jana kunci penyulitan data rawak untuk setiap versi dan sulitkan nilai dengan mod penyulitan yang disahkan (authenticated encryption). Ikatkan tenant_id, secret_id, versi, dan pengecam algoritma sebagai data pengesahan tambahan (additional authenticated data), supaya teks sifer tidak boleh dialihkan ke penyewa atau versi lain tanpa dikesan. Simpan teks sifer, nonce, teg pengesahan, dan kunci data yang dibalut secara bersama.

Setiap penyewa mempunyai satu atau lebih kunci penyulitan kunci yang berversi. Punca yang dilindungi oleh HSM atau KMS awan membuka balutan kunci penyewa tersebut hanya untuk nod satah data yang dibenarkan. Kunci penyewa membalut kunci data setiap versi. Oleh itu, syot kilat storan biasa kekurangan bahan yang diperlukan untuk menyahsulit nilai. Hos satah data yang dicuri hanya mendedahkan kunci penyewa dan kunci data yang ada dalam proses tersebut, jadi penempatan dan skop cache mesti mengehadkan bilangan penyewa yang boleh dilayan oleh satu nod.

HSM/KMS root
  -> unwrap tenant KEK version
      -> unwrap per-secret-version DEK
          -> AEAD-decrypt secret value with bound tenant/version metadata

Memanggil HSM untuk setiap bacaan akan menjadikan perkhidmatan punca sebagai kesesakan kependaman dan pemprosesan (throughput). Nod satah data boleh menyimpan kunci penyewa atau kunci data yang dibuka balutan dalam cache untuk tempoh yang singkat dan terhad di dalam memori yang diperkukuh, dipisahkan mengikut risiko penyewa. Mereka mengosongkan cache berdasarkan peristiwa dasar atau kunci dan semasa penutupan proses. Redis kongsi, swap cakera, longgokan ranap sistem (crash dumps), log, dan jejak tidak sekali-kali menerima teks biasa atau kunci yang dibuka balutan.

Menukar kunci pembalut penyewa boleh membalut semula kunci data tanpa menyahsulit setiap nilai yang disimpan. Menukar kata laluan pangkalan data mencipta nilai rahsia baharu dan mesti diselaraskan dengan pangkalan data. Operasi ini mempunyai radius impak yang berbeza dan tidak boleh berkongsi satu butang "putar" yang samar-samar.

Langkah 5: Jadikan pembenaran dan caching peka pembatalan

Dasar menamakan tindakan seperti create-version, promote, read, issue-dynamic, renew, revoke, dan administer-policy. Mereka boleh mengekang penyewa, projek, persekitaran, laluan, beban kerja, zon rangkaian, masa, dan TTL maksimum. Nafi (deny) mengatasi izin (allow). Akses teks biasa manusia dilumpuhkan secara lalai; pengecualian yang diluluskan merekodkan tiket, pelulus, sebab, dan geran jangka pendek.

Penilaian dasar berjalan secara tempatan untuk kependaman, tetapi dasar yang dicache mempunyai versi dan umur maksimum. Pembatalan dasar atau prinsipal melakukan komit terlebih dahulu, menerbitkan ketaksahan, dan memajukan epok pembenaran penyewa. Nod bacaan mesti membuktikan ia mempunyai sekurang-kurangnya epok yang diperlukan sebelum memberikan perkhidmatan. Jika pembatalan tidak tersedia dan umur maksimum tamat tempoh, bacaan sensitif gagal secara tertutup (fail closed) dan bukannya mempercayai dasar selama-lamanya.

Teks sifer dan metadata tidak boleh ubah adalah selamat untuk disimpan dalam cache secara meluas. Teks biasa tidak selamat. Ejen pihak beban kerja boleh memegang nilai yang dibenarkan dalam memorinya sendiri sehingga TTL yang diisytiharkan, mengurangkan bacaan berulang. Jika produk membenarkan cache cakera disulitkan untuk rahsia kritikal ketersediaan terpilih, kunci terikat peranti, tamat tempoh, dan janji pembatalan yang lebih lemah mestilah eksplisit. Mengembalikan rahsia lama semata-mata kerana satah kawalan tergendala bukanlah jalan keluar (fallback) sejagat.

Langkah 6: Perlakukan putaran kelayakan sebagai aliran kerja yang boleh dipulihkan

Putaran kelayakan statik merentasi pangkalan data sasaran mengikut peringkat tahan lasak:

CREATED_PENDING
  -> INSTALLED_AT_TARGET
  -> VERIFIED
  -> PROMOTED_CURRENT
  -> OLD_VERSION_IN_OVERLAP
  -> OLD_VERSION_REVOKED
  -> COMPLETE

Setiap peralihan mempunyai operasi penyambung yang idempoten dan bukti yang direkodkan. Cipta kelayakan baharu, pasangnya dalam sasaran, ujinya melalui laluan yang dimaksudkan, naikkan pangkat versi baharu, benarkan pertindihan terhad apabila pengguna memerlukannya, kemudian lumpuhkan kelayakan lama pada sasaran. Pekerja penyelarasan membandingkan keadaan aliran kerja dengan sasaran dan menyambung semula selepas ranap sistem. Jika pemasangan berjaya tetapi respons hilang, carian mesti menemui fakta tersebut dan bukannya mencipta satu lagi kelayakan.

Putaran kecemasan mungkin melangkau pertindihan kerana nilai lama disyaki dikompromi. Pilihan itu boleh menyebabkan gangguan aplikasi dan harus memerlukan laluan pembenaran berskop insiden. Menolak bacaan kepada versi lama yang disimpan sahaja adalah tidak mencukupi selagi sistem sasaran masih menerimanya.

Bagi rahsia dinamik, penyambung mencipta kelayakan jangka pendek yang unik untuk beban kerja dan merekodkan pajakan. Pembaharuan mengembalikan tamat tempoh baharu yang sebenar, yang mungkin lebih pendek daripada yang diminta. Tamat tempoh atau pembatalan manual memberitahu sasaran untuk membatalkan kelayakan. Jika sasaran tidak dapat dihubungi, pajakan memasuki REVOCATION_PENDING; percubaan semula, amaran, dan buku panduan pengendali kekal aktif. Perkhidmatan tidak boleh menandakannya sebagai dibatalkan semata-mata kerana mesej baris gilir telah dihantar.

Langkah 7: Peruntukkan bajet kapasiti dan asingkan penyewa panas (hot tenants)

Berdasarkan tiga versi yang dikekalkan bagi setiap 20 juta nama dan 2 KiB setiap nilai, bait nilai mentah yang disulitkan adalah kira-kira:

20,000,000 × 3 × 2 KiB = 122,880,000,000 bytes ≈ 114 GiB

Jika metadata yang disulitkan berpurata 1 KiB lagi setiap versi, itu menambah kira-kira 57 GiB. Tiga replika serantau meletakkan anggaran storan permulaan hampir 513 GiB sebelum indeks, audit, pajakan, keidempotanan, sandaran, dan pertumbuhan. Pengiraan ini datang daripada gesaan dan merupakan garis dasar penentuan saiz, bukan penanda aras produk.

Pada 100,000 bacaan sesaat dan purata nilai pulangan 2 KiB, egres teks biasa sahaja menghampiri 195 MiB sesaat, sebelum TLS dan overhed respons. Pisahkan (shard) penyewa mengikut pengecam penyewa yang stabil, kemudian asingkan penyewa yang luar biasa panas atau terkawal ke dalam sel khusus. Guna pakai belanjawan serentak dan kadar bagi setiap penyewa supaya satu beban kerja yang dikompromi tidak dapat menggunakan semua pekerja penyahsulitan atau kapasiti audit.

Kependaman bacaan harus diuraikan kepada pengesahan identiti, penilaian dasar, carian metadata, buka balutan/cache kunci, penyahsulitan, masukkan audit ke baris gilir, dan masa rangkaian. Cache miss HSM dan tekanan balik audit (audit backpressure) layak mendapat peruntukan bajet yang bebas. Jangan sekali-kali menggugurkan audit secara senyap untuk melindungi p99; sama ada gunakan sempadan tempatan/peti keluar yang tahan lasak atau tolak permintaan sensitif apabila rekod audit yang diperlukan tidak dapat dikekalkan.

Langkah 8: Reka bentuk pemulihan serantau dan pemulihan punca secara berasingan

Replikasi keadaan disulitkan dan rekod peti keluar audit secara tak segerak ke rantau pemulihan bencana yang sedia aktif (warm DR region), dengan lat replikasi yang diukur. Kenaikan pangkat memerlukan epok pemagaran (fencing epoch) supaya rantau asal lama tidak dapat menyambung semula penulisan sebagai primer kedua. Pada RPO satu minit yang dinyatakan, pemanggil mesti memahami bahawa versi diakui yang paling baharu mungkin perlu dicipta semula selepas kehilangan seluruh rantau. Jika itu tidak dapat diterima, wajibkan korum rentas rantau sebelum mengakui sesuatu penulisan.

Rantau DR juga memerlukan akses bebas kepada perkhidmatan punca kepercayaan, identiti beban kerja yang berfungsi, keadaan dasar, dan eksport audit. Menyalin teks sifer sahaja bukanlah pelan pemulihan. Uji syot kilat yang disulitkan dan pemulihan titik masa (point-in-time restore), tetapi lindungi konfigurasi, kelayakan but, dan bahan auto-buka meterai (auto-unseal) secara berasingan kerana ia boleh menjadi sensitif walaupun syot kilat data disulitkan.

Pemulihan punca menggunakan prosedur kecemasan yang dikawal korum, pentadbir berasingan, bukti tidak boleh ubah, dan latih tubi berkala. Kehilangan kunci penyewa boleh memusnahkan akses kepada nilai penyewa tersebut; kebocorannya boleh mendedahkan setiap nilai yang dibalut oleh kunci itu. Oleh itu, sandaran, putaran, penempatan, dan pemusnahan kunci memerlukan ujian kitaran hayat yang eksplisit.

Langkah 9: Sahkan sifat keselamatan dan tingkah laku kegagalan

Bina ujian berasaskan varian tak berubah, bukan hanya kependaman laluan gembira (happy-path):

• Jana percubaan laluan rentas penyewa, laluan terenkod, dasar kad bebas (wildcard-policy), dan identiti basi, serta buktikan setiap satu ditolak.
• Berlumba dalam penciptaan versi, kenaikan pangkat, pembatalan dasar, dan bacaan; sahkan tiada nod basi yang memberikan versi yang baru dinafikan.
• Imbas pangkalan data, baris gilir, log, jejak, longgokan ranap sistem, dan sandaran untuk mencari teks biasa kenari (canary plaintext) dan bahan kunci yang dibuka balutan.
• Suntik kependaman KMS, pengusiran cache kunci, kehilangan korum storan, tekanan balik audit, dan gangguan penuh satah kawalan.
• Ganggu setiap peringkat putaran sebelum dan selepas tindakan pihak sasaran; buktikan penyelarasan menumpu tanpa kelayakan pendua atau penyelesaian palsu.
• Jadikan sasaran rahsia dinamik tidak tersedia semasa tamat tempoh; buktikan pajakan kekal tertangguh secara nyata sehingga pembatalan pihak sasaran berjaya.
• Pulihkan rantau DR daripada replikasi dan syot kilat yang disulitkan; sahkan pemagaran, identiti, dasar, kunci, audit, RTO, dan RPO yang diukur.
• Lakukan ujian beban terhadap taburan penyewa yang sangat condong pada 100,000 bacaan dan 2,000 penulisan sesaat sambil mengukur p99, ketepatan penolakan, trafik HSM, skop cache, dan kelengkapan audit.

Contoh Jawapan Berkualiti Tinggi

"Saya akan menyatakan terlebih dahulu bahawa perkhidmatan ini melindungi daripada kompromi storan, sandaran, rentas penyewa, pembalakan, dan kompromi hos terhad, manakala beban kerja yang dibenarkan tetap boleh menyalahgunakan nilai yang diterimanya. Setiap permintaan bermula dengan identiti beban kerja jangka pendek. Perkhidmatan ini memperoleh penyewa dan beban kerja daripada identiti tersebut, kemudian menilai dasar berversi untuk sumber dan tindakan yang tepat; laluan yang dibekalkan oleh pemanggil tidak boleh memilih penyewa lain.

Saya akan menggunakan versi tidak boleh ubah. Permintaan cipta menulis versi tertangguh, dan kenaikan pangkat secara bersyarat mengalihkan penunjuk current rahsia daripada versi terdahulu yang dijangkakan. Korum tiga zon di rantau asal mengomitkan teks sifer, metadata, keidempotanan, dan peti keluar audit secara bersama. Bacaan current menggunakan penghadang bacaan supaya replika basi tidak dapat memberikan versi yang dibatalkan.

Bagi penyulitan, setiap versi mendapat kunci data rawak dan penyulitan yang disahkan terikat pada penyewa, rahsia, dan versi. Kunci penyewa membalut kunci data tersebut, dan punca yang dilindungi HSM atau KMS membuka balutan kunci penyewa hanya pada nod satah data yang dibenarkan. Storan biasa dan sandaran mengandungi teks sifer dan kunci yang dibalut. Nod bacaan boleh menyimpan kunci yang dibuka balutan dalam cache buat seketika dalam memori yang diperkukuh dan dipisahkan mengikut penyewa; teks biasa tidak sekali-kali memasuki cache kongsi, log, jejak, swap, atau longgokan teras.

Putaran kelayakan ialah mesin keadaan: cipta, pasang pada sasaran, sahkan, naikkan pangkat, tindih, batalkan kelayakan sasaran lama, dan selesaikan. Setiap panggilan penyambung adalah idempoten dan diselaraskan, kerana pangkalan data luaran tidak boleh menyertai transaksi metadata. Kompromi kecemasan boleh membuang pertindihan. Kelayakan dinamik dikeluarkan bagi setiap beban kerja dengan pajakan; tamat tempoh selesai hanya selepas sasaran mengesahkan pembatalan, jika tidak sistem mengekalkan keadaan tertangguh yang kelihatan dan memberi amaran.

Satah kawalan memiliki dasar, versi, kelulusan, dan aliran kerja; sel satah data yang diskalakan secara mendatar melayani bacaan. Teks sifer boleh disimpan dalam cache secara meluas, dasar mempunyai cache berversi yang terhad, dan penyimpanan cache kunci yang dibuka balutan adalah singkat dan setempat. Bagi kehilangan rantau, keadaan yang disulitkan mereplikasi ke rantau sedia aktif dengan RPO satu minit dan epok pemagaran menghalang otak berpecah (split-brain). Jika keperluan bertukar kepada RPO sifar, saya akan melakukan komit secara segerak merentasi rantau dan menerima kependaman yang lebih tinggi atau ketersediaan penulisan yang lebih rendah.

Akhir sekali, saya akan menguji serangan rentas penyewa dan laluan terenkod, kenaikan pangkat dan pembatalan serentak, kebocoran kenari ke dalam semua permukaan kebolehlihatan dan sandaran, gangguan KMS dan audit, ranap sistem pada setiap langkah putaran, pembatalan pajakan yang tersekat, dan pemulihan DR yang lengkap. Reka bentuk ini lulus hanya apabila keputusan keselamatan kekal betul di bawah kegagalan tersebut dan puncak 100,000 bacaan masih memenuhi bajet kependaman yang diukurnya."

Kesilapan Biasa

• Menggunakan satu kunci penyulitan pangkalan data di sebelah pangkalan data → kompromi syot kilat boleh merangkumi kedua-dua teks sifer dan laluan penyahsulitannya → pisahkan punca HSM/KMS, kunci pembalut penyewa, kunci data bagi setiap versi, dan storan biasa.
• Mempercayai penyewa atau laluan dalam permintaan → pertukaran nama objek menjadi akses rentas penyewa → peroleh penyewa daripada identiti yang disahkan, kanonikkan sekali, dan benarkan tindakan dan sumber yang tepat.
• Merekodkan badan permintaan atau respons dalam log untuk penyahpepijatan → timbunan kebolehlihatan menjadi stor rahsia teks biasa → gunakan pengecam, keputusan, versi, dan ujian kebocoran kenari tanpa nilai.
• Memanggil HSM pada setiap bacaan → kependaman dan kuota punca kepercayaan menjadi kesesakan platform → gunakan penyulitan sampul dan cache kunci memori terlindung yang terhad dengan radius impak yang eksplisit.
• Meletakkan nilai yang dinyahsulit dalam Redis → pengoptimuman kependaman mencipta sempadan kompromi teks biasa yang luas → simpan teks sifer dalam cache secara meluas dan simpan sebarang teks biasa hanya dalam memori terhad pengguna yang dibenarkan.
• Memperlakukan putaran sebagai satu kemas kini → pemasangan sasaran boleh berjaya manakala metadata gagal atau sebaliknya → gunakan aliran kerja berperingkat yang tahan lasak, operasi penyambung yang idempoten, peraturan pertindihan, dan penyelarasan.
• Menandakan pajakan dibatalkan selepas menerbitkan mesej → kelayakan hiliran mungkin masih berfungsi → kekalkan keadaan tertangguh sehingga pembatalan pihak sasaran disahkan dan beri amaran tentang pembatalan yang tersekat.
• Menjanjikan pembatalan serta-merta bagi nilai statik yang disalin → bacaan masa hadapan boleh dinafikan, tetapi salinan sedia ada kekal boleh digunakan → putarkan atau lumpuhkan kelayakan pada sistem yang menerima dan utamakan kelayakan dinamik jangka pendek.
• Gagal secara terbuka (failing open) pada dasar yang basi selama-lamanya → prinsipal yang dialih keluar boleh terus membaca nilai sensitif → versikan cache dasar, batalkannya, kuat kuasakan umur maksimum, dan gagal secara tertutup selepas had tersebut.
• Menyalin teks sifer ke rantau kedua dan memanggilnya DR → identiti, kunci punca, dasar, pemagaran, dan audit mungkin masih tidak tersedia → uji graf kebergantungan pemulihan yang lengkap dan ukur RTO dan RPO sebenar.

Soalan Susulan dan Jawapan

Susulan 1: Bagaimanakah pengurus rahsia berbeza daripada KMS?

Pengurus rahsia menyimpan dan memversikan kelayakan legap, membenarkan perolehan, menyelaraskan putaran, mengeluarkan pajakan, dan mengaudit akses. KMS mengurus kunci kriptografi dan melakukan operasi seperti membalut atau menandatangani. Reka bentuk ini menggunakan KMS atau HSM sebagai punca kepercayaannya; ia tidak mendedahkan punca tersebut sebagai rahsia biasa yang boleh diperoleh.

Susulan 2: Bolehkah anda menyimpan rahsia dalam cache aplikasi?

Boleh, hanya di bawah kontrak yang eksplisit. Ejen boleh menyimpan nilai yang dibenarkan dalam memori proses sehingga TTL yang terhad dan menyegarkan sebelum tamat tempoh. Ini mengurangkan kebergantungan ketersediaan dan volum bacaan, tetapi memanjangkan masa di mana pembatalan dasar sahaja tidak dapat memadamkan salinan sedia ada. Kelayakan berisiko tinggi atau dinamik harus menggunakan pajakan yang lebih pendek dan pembatalan pihak sasaran dan bukannya cache tanpa had.

Susulan 3: Apakah yang berlaku apabila KMS atau HSM tidak tersedia?

Nod hanya boleh meneruskan operasi dengan kunci yang telah dibuka balutan dalam jangka hayat cache yang diluluskan. Penyewa baharu, cache miss, dan operasi kunci punca gagal secara tertutup. Jejak liputan cache, kadar ralat KMS, dan tetingkap selamat yang tinggal; kurangkan beban sebelum semua nod tamat tempoh secara serentak. Memanjangkan jangka hayat kunci semasa insiden ialah keputusan keselamatan yang memerlukan dasar yang telah ditetapkan, bukan gelung percubaan semula automatik.

Susulan 4: Bagaimanakah anda memutarkan kunci penyewa tanpa menyahsulit setiap rahsia?

Buka balutan setiap kunci data per versi dengan kunci penyewa lama dan balutnya dengan kunci penyewa baharu, sebaik-baiknya dalam perkhidmatan kunci yang dipercayai supaya kunci data teks biasa tidak meninggalkan sempadan tersebut. Simpan kedua-dua versi kunci penyewa dan kunci data yang dibalut, tandakan titik semak migrasi, dan kekalkan kunci penyewa lama sehingga setiap rujukan dan dasar sandaran membenarkan persarakannya. Nilai rahsia yang disulitkan itu sendiri tidak berubah.

Susulan 5: Bagaimanakah anda menghalang pengendali berkeistimewaan daripada membaca rahsia setiap penyewa?

Pisahkan pentadbiran dasar, pentadbiran kunci, operasi infrastruktur, dan semakan audit. Lumpuhkan perolehan teks biasa manusia secara rutin, wajibkan geran jangka pendek yang diluluskan oleh korum untuk pengecualian, tempatkan penyewa terkawal dalam sel dan skop kunci yang berasingan, dan hantar bukti ke sistem audit yang dikawal secara bebas. Tiada peranan kegunaan harian tunggal yang boleh memberikan akses kepada dirinya sendiri dan menyahsulit nilai tanpa bukti luaran.

Susulan 6: Patutkah bacaan kekal tersedia apabila rantau asal tergendala?

Hanya jika rantau DR mempunyai epok berwibawa yang dipagar, dasar dan data disulitkan yang cukup terkini, akses kepada punca kepercayaannya, dan RPO yang diterima dengan jelas. Memberikan perkhidmatan daripada replika basi yang sewenang-wenangnya boleh membangkitkan semula akses yang dibatalkan. Pada RPO satu minit yang dinyatakan, naikkan pangkat rantau sedia aktif melalui proses failover yang diuji; RPO sifar memerlukan komit rentas rantau segerak sebelum insiden berlaku.

Susulan 7: Mengapa tidak menyimpan rahsia hanya sebagai pemboleh ubah persekitaran?

Pemboleh ubah persekitaran ialah mekanisme penghantaran, bukan pengurusan kitaran hayat. Ia mungkin terdedah melalui pemeriksaan proses, longgokan ranap sistem, diagnostik, proses anak, atau konfigurasi penggunaan; ia juga kekurangan versi pusat, putaran pihak sasaran, pajakan, dan atribusi bagi setiap bacaan. Jika ejen penggunaan menyuntik pemboleh ubah persekitaran, pastikan skop dan jangka hayatnya kecil serta kekalkan pengurus rahsia sebagai punca kebenaran dasar dan kitaran hayat.