Uw eigen sleutelkluis (Azure, AWS of Google Cloud)

Klik bij Omgevingen op Ontwikkeling en kies Geheimen en sleutels: daar ziet u waar de geheimen van deze omgeving staan en of de kluis werkt. Een nieuwe omgeving gebruikt Flows eigen kluis: versleuteld in haar eigen database.

Nu controleren kijkt of de kluis van deze omgeving antwoordt: of ze haar sleutel kan openen en de namen kan lezen die Flow gebruikt. Voor Flows eigen kluis hoeft u niets in te richten — geen rechten, geen testgeheim. Ontbreekt een naam die een workflow of verbinding gebruikt, dan ziet u dat hier ook.

Kies een andere kluis en vul in waar de geheimen komen te staan: de regio, de rol die Flow aanneemt en het voorvoegsel waaronder deze omgeving mag lezen — elke omgeving een eigen voorvoegsel, zodat Ontwikkeling nooit bij de geheimen van Productie kan. Een ontwikkelaar mag dit ook voorstellen; alleen een eigenaar keurt het goed.

De portal schrijft precies uit wat u in AWS instelt, met de waarden van deze omgeving al ingevuld: de portal als identity provider, een rol die alleen deze omgeving vertrouwt, en leesrechten onder het voorvoegsel. Er is geen toegangssleutel nodig. Zet daarna de waarden in Secrets Manager onder de naam van hun werkruimte — /; Flow toont die naam bij elk geheim — plus het testgeheim flow-canary direct onder het voorvoegsel.

Voordat iemand goedkeurt, leest de omgeving het testgeheim flow-canary uit de voorgestelde kluis — met haar eigen identiteit, zoals straks echt — en kijkt of elke naam die ze gebruikt er staat. U ziet wat gevonden is, nooit een waarde.

Een eigenaar keurt goed; wie het vroeg en wie besliste, wordt vastgelegd. De omgeving start opnieuw en leest voortaan uit AWS. Dezelfde workflows blijven werken: de namen zijn gelijk gebleven.

Als de omgeving weer draait, staat AWS Secrets Manager bovenaan, met het voorvoegsel. Nu controleren leest het testgeheim nu echt uit de kluis van de omgeving; het resultaat blijft staan als gezondheid, met wie testte en wanneer. Een fout blijft zichtbaar tot een volgende test slaagt.

Elke omgeving kiest haar eigen kluis. Open Productie en stel Google Cloud Secret Manager voor: de project-ID waarin de geheimen staan, het projectnummer, de workload identity pool en de provider daarin. Een serviceaccount is niet nodig: leeg leest Flow met de identiteit van de omgeving zelf, zonder sleutelbestand.

De stappen in de portal noemen uw projectnummer, pool en provider al: maak de pool, voeg de portal toe als OIDC-provider met de voorwaarde die alleen Productie binnenlaat, en geef die identiteit de rol Secret Manager Secret Accessor. Zet de waarden in Secret Manager onder de naam van hun werkruimte, __, plus flow-canary. Test daarna de kluis: Productie leest het testgeheim met haar eigen identiteit.

Na de goedkeuring start Productie opnieuw en leest voortaan uit Secret Manager; Ontwikkeling blijft bij AWS. Dezelfde workflow zoekt dezelfde naam op, elk in de eigen kluis. Nu controleren bewijst het.