🔐 Secretless Broker — секреты под замком, без ключей в коде

⚡️ Secretless Broker — open-source прокси, созданный в CyberArk для того, чтобы ваши приложения никогда не видели и не хранили чувствительные секреты вроде паролей или API-ключей. Он буквально убирает секреты из кода, из конфигураций и из среды выполнения — и всё это без радикальных переделок архитектуры.

🚀 Принцип работы

Secretless Broker —  sidecar-прокси, который встраивается рядом с вашим приложением (например, в Kubernetes Pod), перехватывает запросы к защищённым сервисам и добавляет к ним аутентификацию.

👉 Само приложение при этом общается с прокси как будто напрямую с целевой БД или API — никаких секретов внутри кода или переменных окружения.

🔑 Инструмент сам «подцепляет» секреты из защищённого хранилища (например, HashiCorp Vault, CyberArk Conjur, Kubernetes Secrets) и прозрачно использует их для подключения к нужным сервисам.

Таким образом, вы минимизируете риск утечек и исключаете «hardcoded credentials» вообще.

🧩 Что поддерживается?

✅ PostgreSQL
✅ MySQL
✅ MSSQL
✅ MongoDB
✅ Redis
✅ SSH
✅ LDAP
✅ AWS RDS
✅ Generic HTTP API

⚙️ Архитектура

Решение состоит из:
🔸 Listener’ов — слушают подключение приложения (например, через локальный сокет или порт)
🔸 Handlers — управляют аутентификацией к целевому сервису
🔸 Providers — берут секреты из хранилища и подают их на вход Handler’у
Эти блоки конфигурируются через YAML, который задаёт,  протокол и параметры подключений использовать.

🛡️ За счёт чего митигируем риски?

✋ Разработчику не нужно знать секреты — даже при отладке.
✋ DevOps не таскает ключи по CI/CD пайплайнам.
✋ Секреты обновляются централизованно, без перекатывания приложений.
✋ Снижается вероятность компрометации ключей при инцидентах.

💥 Почему не классический Secret Managers?

Обычные Secret Managers — это всё равно «тайник», к которому должен обратиться ваш код.

Secretless Broker убирает сам момент «доставки» секрета в приложение: приложение его никогда не видит.

🐳 Kubernetes ready

Проект активно используется в Kubernetes как sidecar-контейнер, что идеально подходит для реализации Zero Trust и DevSecOps. Есть примеры Helm-чартов, манифестов, CRD — всё для быстрого старта в кластерной среде.

🌟 Фишки

✨ Поддержка динамических ротаций секретов
✨ Горячая перезагрузка конфигов
✨ Плагины для кастомных провайдеров

🔎 Полезные ссылки

👉 Документация: secretless.io
👉 GitHub: github.com/cyberark/secretless-broker
👉 Примеры Kubernetes: k8s examples

✅ Итог

Secretless Broker интересный инструмент, который позволяет:
🔐 держать секреты вне приложения,
🚫 минимизировать attack surface,
⚡️ ускорить DevOps,
и сделать кибербезопасность нативной частью пайплайнов.

Stay secure and read SecureTechTalks 📚

#секреты #cyberark #devsecops #kubernetes #opensource #security #infrastructure #api #authentication #SecureTechTalks