← Cloudflare Secrets Store / secrets-store

Управление доступом к Secrets Store

Secrets Store даёт администраторам безопасности больше контроля благодаря управлению доступом на основе ролей. Подробнее о ролях в Cloudflare рассказано в Основы.

Доступ к секрету контролируется двумя независимыми проверками, каждая из которых должна быть успешной:

1. Авторизация означает, что вызывающая сторона должна иметь разрешение на выполнение действия. Это разрешение предоставляется либо роль пользователя (когда запрос аутентифицируется через панель управления) или разрешение API токена (когда запрос выполняется с использованием API токена). Каждый запрос проверяется только по одному из этих способов, не по обоим сразу.
2. Область действия секрета список областей действия для секрета должен включать сервис, который его использует.

Например, для развёртывания Worker, который привязывает секрет, требуется роль или API-токен с правом привязки секретов, а также секрет, область действия которого включает workers.

Определения ролей по умолчанию приведены в списке ниже.

• Может создавать, редактировать, дублировать и удалять секреты, а также просматривать их метаданные.
• Может добавлять привязку Secrets Store к Worker.
• Может создать связь между секретом и AI Gateway.

• Может создавать, редактировать, дублировать и удалять секреты, а также просматривать их метаданные.

• Может просматривать метаданные секретов, но не может создавать, редактировать, дублировать или удалять секреты.
• Может добавлять привязку Secrets Store к Worker.
• Может создать связь между секретом и AI Gateway.

• Может просматривать метаданные секретов.
• Не может выполнять никакие действия (создание, редактирование, дублирование, удаление секретов), а также использовать интеграции Secrets Store с другими продуктами Cloudflare.

API-токены есть два уровня разрешений Secrets Store: Чтение и Изменить. Необходимое разрешение зависит от того, какое действие выполняет токен, а не от того, планируете ли вы изменять сам секрет.

• Account Secrets Store Read: позволяет вызывающей стороне просматривать метаданные секретов (например, получать список секретов или узнавать имя, ID, области действия и комментарии секрета). Это разрешение не даёт доступа к значению секрета и не позволяет привязывать секрет к другому ресурсу.
• Account Secrets Store Edit: позволяет вызывающей стороне создавать, редактировать, дублировать или удалять секреты. Право Edit также требуется для привязки секрета к другому ресурсу Cloudflare, например добавление привязки Secrets Store к Worker или связывание секрета с AI Gateway. Присоединение секрета к ресурсу считается операцией записи для этого секрета.

У каждого секрета есть список области действия которые определяют, какие сервисы Cloudflare могут использовать этот секрет. Области действия задаются при создании секрета и могут быть изменены позже путём редактирования секрета.

В настоящее время поддерживаются следующие области действия:

• workers означает, что секрет можно использовать для привязанный к Worker.
• ai-gateway означает, что секрет можно использовать для связанный с AI Gateway.

Запрос на привязку или связывание секрета с сервисом будет отклонён, если этот сервис не входит в список областей действия, даже если у вызывающей стороны есть нужная роль или разрешение API токена. Поэтому для развёртывания Worker с привязкой Secrets Store необходимо одновременно выполнение двух условий:

• Роль пользователя или API токен, который может привязывать секреты (роль Super Administrator или Secrets Store Deployer, либо Account Secrets Store Edit разрешение API токена).
• Список областей действия секрета, включающий workers.

Вы можете задать области действия при создание секрета с помощью панели управления, API (scopes поле), или Wrangler (--scopes флаг).