Arcanum — Segreti

Arcanum è il servizio che custodisce i segreti della piattaforma. È costruito su OpenBao ed è la base su cui poggiano le altre garanzie di sicurezza: se Arcanum tiene, tiene il resto.

Che cosa custodisce

Credenziali dei connettori	Le utenze con cui Beacon interroga le piattaforme sorgente
Credenziali PAM	Gli account privilegiati gestiti dal modulo PAM
Chiavi dei provider AI	Le chiavi dei provider esterni di Corell!A
Certificati e chiavi private	Della CA interna e dei servizi
Segreti di piattaforma	Chiave JWT, chiave API interna, token del registro immagini

Come i servizi ottengono i segreti

Nessun servizio ha una credenziale scritta in un file di configurazione. Ogni servizio si autentica ad Arcanum con la propria identità applicativa e riceve solo i segreti del proprio ambito.

Una conseguenza da tenere presente in diagnostica: l’identità è per servizio. Un servizio che tenta di leggere il percorso di un altro non ottiene un permesso negato generico, ottiene un fallimento sull’identità sbagliata. Se un componente riporta di non trovare un segreto che esiste, la domanda giusta è quasi sempre “con quale identità lo sta chiedendo”.

Cifratura delle credenziali privilegiate

Le credenziali del PAM non sono semplicemente archiviate: sono cifrate dal motore transit di Arcanum. La chiave di cifratura non lascia mai Arcanum e le operazioni di cifratura e decifratura avvengono al suo interno.

Il risultato pratico è che una copia del database, presa da qualcuno che vi riesca, non contiene credenziali utilizzabili.

Cifratura dei segreti Kubernetes

Arcanum fa anche da provider di cifratura per i segreti Kubernetes del cluster. Un segreto archiviato in etcd non è leggibile senza Arcanum: le due cose vanno salvate insieme, e vanno ripristinate insieme.

Sigillo e apertura

OpenBao lavora sigillato o aperto. Da sigillato non serve alcuna richiesta: la chiave master non è in memoria. All’avvio dell’appliance viene aperto automaticamente con il materiale che Warden custodisce.

Un dettaglio operativo che vale la pena conoscere: in una configurazione a più repliche, solo una è quella attiva. Le richieste vanno indirizzate all’endpoint che punta sempre al leader corrente, non a quello che bilancia su tutte le repliche — altrimenti una parte delle richieste finisce su una replica sigillata e fallisce in modo intermittente. La piattaforma è configurata così; se aggiungete integrazioni che parlano direttamente con Arcanum, fatelo anche voi.

Backup

Arcanum è il primo componente da mettere al sicuro e l’unico il cui backup non è opzionale. Senza il suo stato:

• le credenziali PAM sono irrecuperabili;
• le credenziali dei connettori vanno reinserite una per una;
• i segreti Kubernetes cifrati non sono decifrabili;
• l’appliance va sostanzialmente riconfigurata da capo.

Il backup della piattaforma comprende Arcanum. Vedi Backup e ripristino.

Audit

Ogni accesso a un segreto è registrato: chi, che cosa, quando, con quale esito. Gli audit di Arcanum sono parte del percorso di conformità e non sono disattivabili.