Uma chave separada para automação em vez de compartilhar senha: os tokens e seus limites

Um script de backup, uma ferramenta de monitoramento ou uma tarefa de provisionamento precisa se conectar ao sistema. O primeiro reflexo é entregar uma senha, e quase sempre a da conta com mais privilégios. É aí que o problema começa.

O que uma senha entregue entrega

Uma senha pertence a uma pessoa. Quando você a dá a um script, deu tudo o que aquela pessoa tem, ainda por cima em texto claro dentro de um arquivo. Quando a senha muda a automação para, e quando a pessoa sai a senha é trocada, mas que a automação dependia dela costuma ser lembrado exatamente naquele dia.

O que um token faz

Um token é uma chave separada presa a uma conta. Ele separa três coisas: pode ser revogado sozinho, pode ter a própria data de fim, e como tem nome se sabe qual trabalho o usa. Poder desligar uma automação sem trocar uma senha parece detalhe; conforme a instalação cresce, é justamente o que mais serve.

A pergunta real: o que o token pode fazer

O ajuste mais importante de um token é se ele carrega a autoridade da conta como está. Se carrega, o token é tão poderoso quanto o dono. Se o dono tem privilégios completos, o token também tem, e agora ele mora dentro de um arquivo em alguma máquina.

Com a separação ligada, o token tem só a autoridade concedida ao próprio token. A um script de backup você dá o suficiente para fazer backup, e mesmo que esse script seja comprometido, é só isso que vai. Escolha o lado estreito por padrão e abra o largo apenas de propósito.

O segredo é mostrado uma vez

Ao criar um token você vê o segredo dele uma vez. Não é capricho da interface: o sistema não guarda esse valor em forma legível. Se você perder, cria outro, e esse é o comportamento correto. Se ele pudesse ser lido de volta em algum lugar, esse seria o problema de verdade.

Onde a chave acaba morando

Onde a chave fica importa mais do que quão forte ela é. Um script enviado a um repositório, uma configuração que entrou num arquivo de backup, uma janela capturada numa imagem de tela: todos carregam a chave. Decida onde ela será escrita antes de criá-la.

Data de fim e renovação

Uma chave com data de fim deixa de ser risco um dia, mesmo que ninguém cuide. Uma sem data vive anos e em geral sobrevive a quem a criou. Ponha uma nota em cada chave: qual trabalho a usa, quem responde por ela.

O que o Atlas faz

O Atlas gerencia tokens por conta. Ao criar um, manter a autoridade do token separada da conta vem ligado por padrão: o lado estreito é o ponto de partida e alargar é um passo consciente. O segredo é mostrado uma vez no momento da criação e não fica guardado no painel. Os tokens existentes são listados com a nota e a data de fim, então a pergunta "qual automação desta máquina se conecta com qual chave" se responde lendo.