← Cloudflare Secrets Store / secrets-store

Řízení přístupu Secrets Store

Secrets Store umožňuje bezpečnostním administrátorům získat větší kontrolu díky zavedení přístupu na základě rolí. Podrobnosti o rolích u Cloudflare najdete v Základy.

Přístup k tajemství je řízen dvěma nezávislými kontrolami, které musí být obě splněny:

1. Autorizace: volající musí mít oprávnění k provedení akce. Toto oprávnění pochází buď z role uživatele (pokud požadavek ověří dashboard) nebo Oprávnění API tokenu (pokud je požadavek odeslán pomocí API tokenu). Daný požadavek se posuzuje buď podle jednoho, nebo podle druhého, nikoli podle obou zároveň.
2. Rozsah tajemství , seznam rozsahů u tajemství musí obsahovat službu, která ho využívá.

Nasazení Workeru, který připojuje tajemství, tak vyžaduje roli nebo API token s oprávněním k připojování tajemství a tajemství, jehož rozsah zahrnuje workers.

Výchozí definice rolí najdete v seznamu níže.

• Umí vytvářet, upravovat, duplikovat, mazat a zobrazovat metadata tajemství.
• Umí přidat binding Secrets Store k Workeru.
• Umí vytvořit propojení mezi tajemstvím a AI gateway.

• Umí vytvářet, upravovat, duplikovat, mazat a zobrazovat metadata tajemství.

• Umí zobrazovat metadata tajemství, ale nemůže tajemství vytvářet, upravovat, duplikovat ani mazat.
• Umí přidat binding Secrets Store k Workeru.
• Umí vytvořit propojení mezi tajemstvím a AI gateway.

• Umí zobrazovat metadata tajemství.
• Nemůže provádět žádné akce (vytvářet, upravovat, duplikovat, mazat tajemství) ani používat integrace Secrets Store s dalšími produkty Cloudflare.

API tokeny mají dvě úrovně oprávnění Secrets Store: Čtení a Úprava. Potřebné oprávnění závisí na tom, co token dělá, nikoli na tom, zda máte v úmyslu upravit samotné tajemství.

• Account Secrets Store Read: Umožňuje volajícímu zobrazovat metadata tajemství (například výpis tajemství nebo získání názvu, ID, scopes a komentářů tajemství). Toto oprávnění neposkytuje přístup k hodnotě tajemství a neumožňuje navázat tajemství k jinému prostředku.
• Account Secrets Store Edit: Umožňuje volajícímu vytvářet, upravovat, duplikovat nebo mazat tajemství. Edit je také nutné pro připojení tajemství k jinému prostředku Cloudflare, například přidání bindingu Secrets Store k Workeru nebo přiřazení tajemství k AI Gateway. Přiřazení tajemství k prostředku se považuje za zápis do tajemství.

Každé tajemství má seznam rozsahy které určují, které služby Cloudflare mohou tajemství používat. Scopes se nastavují při vytvoření tajemství a lze je později upravit úpravou tajemství.

Aktuálně podporované rozsahy jsou:

• workers: umožňuje, aby tajemství mohlo být navázané na Worker.
• ai-gateway: umožňuje, aby tajemství mohlo být přiřazené k AI Gateway.

Požadavek na navázání nebo přiřazení tajemství ke službě bude zamítnut, pokud daná služba není v seznamu scopes, a to i v případě, že volající má správnou roli nebo oprávnění API tokenu. Nasazení Workeru s bindingem Secrets Store proto vyžaduje obojí:

• Role uživatele nebo API token, které umožňují navazovat tajemství (role Super Administrator nebo Secrets Store Deployer, nebo Account Secrets Store Edit oprávnění API tokenu).
• Seznam scopes u tajemství, který obsahuje workers.

Rozsahy můžete nastavit při vytváření tajemství pomocí dashboardu, API (scopes poli), nebo Wrangler (--scopes příznak).