Пароли и ключи меняют редко, потому что страшно. Схема, при которой не страшно.
Пароли и ключи меняют редко, потому что страшно. Схема, при которой не страшно. Инвентаризация. Список всех секретов: где хранится, кто использует, где ещё продублирован. Двойные секреты. Система должна поддерживать одновременно старый и новый ключ хотя бы недолго — тогда смена проходит без простоя. Порядок. Создать новый, добавить его во все места, переключить потребителей, убедиться, что старый больше не используется по логам, удалить старый. График. Сервисные пароли — раз в год. Ключи API — по регламенту сервиса. После увольнений — немедленно и без обсуждений. Автоматизация. Хранилище секретов с динамической выдачей снимает большую часть боли: пароль живёт часы и меняется сам. И самое важное: заранее знать, что сломается. Сервис, о котором забыли, всплывает через неделю после смены пароля — обычно в отчётный период. Когда вы последний раз меняли пароли сервисных учёток?