Secrets Manager
Acabe com a proliferação de segredos com o GitLab Secrets Manager, baseado no OpenBao. Segredos de pipeline e de runtime lidos de um único armazenamento, governados pelas permissões e pela trilha de auditoria que já cobrem o seu código.
Gerencie segredos onde os desenvolvedores já trabalham
Com o GitLab Secrets Manager, os segredos ficam nos mesmos grupos e projetos que o código que os utiliza, então solicitar um segredo faz parte do fluxo de trabalho normal, sem plugin, agente ou uma segunda ferramenta para aprender.
O acesso segue a hierarquia de grupos e projetos que você já tem, e as permissões granulares oferecem controle extra, então não existe um segundo modelo de acesso para manter sincronizado. Defina uma credencial uma única vez no nível do projeto ou compartilhe-a com todo o grupo. Quem sai de um projeto perde o acesso automaticamente.
O desenvolvedor declara o segredo de que um job precisa com a palavra-chave secrets: no arquivo de configuração do pipeline. O GitLab já conhece o projeto, a branch e o ambiente do job, então não há nenhuma identidade para conectar entre o CI e um cofre separado.
Quando uma referência a um segredo quebra, a correção é entregue na mesma solicitação de merge que o código, sem um segundo repositório ou aprovador. Com credenciais seguras a uma linha de distância, menos segredos acabam em variáveis de CI, em arquivos de configuração locais ou no repositório.
Limite o raio de impacto de credenciais expostas
Quando uma dependência comprometida é executada dentro de um job, a limpeza com o GitLab Secrets Manager significa rotacionar e auditar os segredos que esse job poderia alcançar, e não congelar todos os pipelines.
Diferente das variáveis de CI, que chegam a todos os jobs do pipeline, um segredo chega apenas aos jobs que o declaram e que estão dentro do seu escopo: branch, ambiente e status de proteção.
O Secrets Manager grava o valor em um arquivo temporário e expõe apenas o caminho dele, limitando a exposição em subprocessos, crash dumps e telemetria. O valor é mascarado nos logs do job e descartado quando o job termina, então nada permanece no runner.
Os eventos de criação, leitura, atualização e exclusão vão para a mesma trilha de auditoria que o restante do GitLab. As leituras feitas por pipelines carregam os IDs do pipeline e do job, então as equipes de resposta a incidentes e os auditores conseguem rastrear uma credencial do acesso à implantação sem correlacionar logs manualmente entre sistemas.
Um único armazenamento para pipelines, clusters e infraestrutura
Os pipelines leem os segredos diretamente. Cargas de trabalho do Kubernetes, execuções do Terraform e do OpenTofu, ferramentas de CLI compatíveis com o Vault e outras automações se conectam por pontos de integração padrão, com as mesmas permissões e a mesma trilha de auditoria dos pipelines.
O External Secrets Operator mantém os segredos do Kubernetes sincronizados com o GitLab, então os valores rotacionados se propagam sem uma nova implantação. O Terraform e o OpenTofu leem segredos como fonte de dados durante a execução, mantendo as credenciais fora de arquivos e de variáveis de CI/CD.
Baseado no OpenBao, o Secrets Manager expõe uma API compatível com o Vault, então os times que já têm scripts para a CLI do OpenBao ou do Vault mantêm os comandos que já usam. Qualquer outra automação busca segredos pela API do Secrets Manager, em vez de deixar credenciais fixas no código ou manter arquivos de variáveis separados.
As credenciais acompanham cargas de trabalho multicloud, híbridas e on-premises sem federação de identidade por plataforma. Mover uma carga de trabalho para outra nuvem não significa criar um segundo armazenamento, e os segredos que, de outra forma, ficariam espalhados em armazenamentos por conta e por região ficam em um só lugar.
[ PROTEÇÃO ]
Bloqueie e detecte vazamentos de segredosO GitLab vai além do gerenciamento de credenciais. A proteção contra push de segredos impede que credenciais cheguem ao repositório, a detecção no lado do cliente identifica segredos no texto de tíquetes e solicitações de merge, e a detecção de segredos no pipeline encontra segredos que já estão no código. A Duo Agent Platform faz a triagem dos resultados e sinaliza prováveis falsos positivos.
[ PREÇOS ]
Pague apenas pelo que você usaO GitLab Secrets Manager é um complemento pago para Premium e Ultimate, cobrado por meio dos Créditos GitLab: 1 crédito por segredo armazenado por mês e 1 crédito a cada 2.500 operações de leitura de segredos. Se você preferir uma taxa fixa, há a opção de um contrato de licença empresarial (ELA).
// ASSUMA O CONTROLE DO QUE VEM A SEGUIR
Já é cliente Premium ou Ultimate? Proprietários de grupos de nível superior podem experimentar o GitLab Secrets Manager sem custo por 30 dias ou 500 créditos de avaliação, o que terminar primeiro.
Comece sua avaliação gratuitaA sua modernização da segurança
está gerando resultados em escala?
O GitLab criou esta estrutura de maturidade a partir do trabalho com clientes líderes do setor. Responda a algumas perguntas sobre como o seu time lida com segurança e conformidade para receber sua pontuação de maturidade e recomendações para a próxima etapa.
O questionário leva 5 minutos ou menos
Perguntas frequentes