Единое Хранилище Секретов на базе Единой Платформы ЦУГИ

ЦУГИ ЕХС позволяет централизованно хранить и безопасно управлять различными типами конфиденциальных данных: сертификатами, ключами, паролями и API-токенами, с поддержкой криптографических алгоритмов RSA и ГОСТ за счёт вызовов к внешним модулям криптографических провайдеров.
Заменяет и превосходит по функционалу HashiCorp Vault.
ЦУГИ ЕХС является развитием ПО «Система централизованного анализа и управления гетерогенными инфраструктурами (ЦУГИ)», обладает расширенным составом функций и позволяет применяться в отдельно устанавливаемом исполнении, в том числе в составе ПАК.
Платформа ЦУГИ зарегистрирована в реестре российского ПО. Запись в реестре № 13 033 от 21.03.2022.
ЦУГИ ЕХС предназначен для ИТ-специалистов и администраторов безопасности.

Функциональные характеристики

Основными функциями ЦУГИ ЕХС являются:

1) Централизованное безопасное хранение секретов.

Все секреты хранятся в одном месте и зашифрованы с возможностью использования алгоритмов шифрования ГОСТ.

2) Разграничение доступа к секретам и операциям.

В ЕХС реализована ролевая модель доступа (RBAC) с возможностью применения гибких ACL политик.

3) Автоматизация управления жизненным циклом секретов.

Автоматическая ротация статических секретов, динамическая генерация и отзыв временных секретов.

4) Доставка секретов до потребителей:

• ЕХС обеспечивает доставку секретов на аппаратные и виртуальные сервера, а также в среды контейнерной оркестрации Kubernetes
• Для доставки секретов на АРМ пользователей реализован пользовательский кошелек Wallet с возможностью локального кеширования секретов.

5) Логирование и аудит всех операций.Полное логирование всех событий жизненного цикла секретов и действий пользователей.

Функциональные характеристики программного обеспечения:

1) Аутентификация и авторизация пользователей:

• Методы аутентификации: LDAP, JWT/OIDC, Kubernetes, TLS Certificates, Kerberos, RADIUS, AppRole, Username and Password, Tokens
• Поддержка 2FA - TOTP
• Ролевая модель RBAC и гибкие ACL политики
• Логическое разделение секретов (namespaces).

2) Управление секретами:

• Плагины секретов: KV, Transit, Kubernetes, Database, LDAP, TOTP, RabbitMQ, SSH, PKI, ESS CA
• Динамическая генерация временных секретов
• Периодическая ротация секретов
• Удаление/блокировка/отзыв.

3) Автоматизированная доставка секретов:

• Доставка в среды: виртуальные и железные сервера, среды контейнерной оркестрации Kubernetes
• Механизмы интеграции и доставки: API, SDK, ЕХС Агент, ЕХС Оператор, ЕХС Инжектор
• Поддержка legacy систем. Доставка секретов в файлы конфигурации и переменные окружения.

4) Надёжность и масштабирование ЕХС:

• Горячий резерв. Система представляет из себя кластер, состоящий из единственной master node и множества replica nodes. В случае отказа master node одна из replica node автоматически становится master
• Горизонтальное масштабирование. Распределение нагрузки на чтение между узлами кластера ЕХС за счёт replica nodes в режиме «performance». В случае роста нагрузки новые replica nodes могут быть добавлены без прерывания работы ЕХС
• Холодный резерв. Резервный кластер в режиме ожидания, готовый быстро заменить основной при сбое или аварии.

5) Безопасность ЕХС:

• Защищенные соединения.

Передача данных с использованием TLS 1.3 и mTLS для всех взаимодействий между: ЕХС и Агентом; узлами кластера ЕХС; ЕХС и базой данных; ЕХС

и потребителями секретов (если поддерживается потребителями);

• Зашифрованное хранилище. Все секреты хранятся централизованно в зашифрованном виде
• ГОСТ шифрование. Шифрование базы данных ГОСТ алгоритмами
• Хранение мастер ключей в HSM КриптоПро.

6) Модуль мониторинга и аудита

• Логирование событий.

Полное логирование событий жизненного цикла секретов;

• Метрики системы. Сбор метрик о состоянии системы ЕХС
• Интеграции. Интеграци