Credenciais de curta duração, na prática
Todo mundo concorda que chaves deveriam expirar. Aí alguém define o TTL para um ano para que nada quebre. Veja como fazemos credenciais de minutos sobreviverem ao contato com cargas de trabalho reais.
Por que TTLs longos vencem por padrão
Ninguém defende chaves permanentes. Defendem conveniência, e conveniência sempre vence a reunião. Uma credencial de uma hora significa que alguém precisa lidar com renovação, falha e discrepância de relógio. Uma credencial de um ano significa que ninguém precisa pensar nisso até o incidente.
Então o padrão vai se alongando. Já vimos chaves de produção com validade medida em anos, emitidas por equipes que diriam, sinceramente, que acreditam em rotação.
Tire a renovação das mãos do desenvolvedor
Curta duração só funciona se a renovação não for tarefa de um humano. Na Mandavo, o agente solicita uma credencial quando precisa, com escopo para a tarefa, e a plataforma devolve algo que expira em minutos. Não há chave para armazenar, então não há chave para esquecer de rotacionar.
Os modos de falha também mudam. Uma renovação perdida deixa de ser uma expiração silenciosa daqui a seis meses que aciona alguém às 3h da manhã. Passa a ser uma solicitação imediata e óbvia que é aprovada ou negada na hora, com um motivo.
O que quebra, e o que fazer a respeito
Duas coisas quebram quando você passa de um ano para cinco minutos: tarefas em lote que rodam mais tempo que o TTL, e código que armazena um token em cache para sempre. Vale a pena corrigir ambas. Tarefas longas devem reobter credenciais em pontos de verificação; caches devem respeitar a expiração.
O ganho é que uma credencial vazada não vale nada em poucos minutos, e a revogação é uma operação de primeira classe, não uma prece. Você para de perguntar 'essa chave ainda é válida em algum lugar' porque a resposta é sempre não, em breve.
- #credenciais
- #rotação
- #TTL
More field notes
Zero chaves permanentes: um roteiro de migração
Chegar a zero segredos de longa duração é um projeto, não um interruptor. Esta é a ordem que recomendamos, e as armadilhas de cada fase.
Priya Nandakumar · Head of Platform
9 min de leitura
Escrevendo política em tempo de execução, não em tempo de deploy
Decisões de acesso definidas no deploy já estão desatualizadas quando importam. Avaliamos o grafo de políticas no momento em que um agente age. Veja o que isso lhe traz.
Priya Nandakumar · Head of Platform
6 min de leitura