Přeskočit obsah

Správa konfigurací

Životní cyklus konfiguračních souborů — discovery agentem, detekce tajemství, adopce, verzování a discovery politiky

Verze dokumentu: 1.0.0
Poslední aktualizace: 2026-10-22
Enterprise funkce (licence PoC / Enterprise)

1. Přehled

Aplikační konfigurační soubory (.env, YAML, JSON, INI, properties, TOML, XML) jsou nejčastějším místem, kudy přihlašovací údaje unikají mimo správce tajemství. Správa konfigurací (Configuration Management) tuto mezeru uzavírá: agenti MazeVaultu skenují spravované hosty, hledají konfigurační soubory, detekují v nich vložená tajemství a umožňují operátorům přijmout soubory do spravovaného, verzovaného inventáře, kde jsou tajemství odkazována z trezoru místo ukládání v otevřené podobě.

Funkce Popis
Discovery agentem Agenti skenují nakonfigurované cesty a hlásí kandidáty s mírou spolehlivosti (confidence)
Detekce tajemství Obsah je porovnáván s organizačně definovanými vzory tajemství; potenciální tajemství jsou spočítána a lokalizována
Rewrite plány Pro každé detekované tajemství agent navrhne, kde má hodnota v trezoru žít a jaký placeholder ji má nahradit
Adopční workflow Revize → Adopt (volitelně s extrakcí tajemství do projektu) nebo Ignore s uvedením důvodu
Verzování Každý přijatý soubor má neměnitelnou historii verzí s hashi původního i upraveného obsahu
Discovery politiky Šablony na úrovni organizace řídí rozsah skenování, typy souborů, výjimky, klasifikaci a notifikace
Přehledový dashboard Počty spravovaných souborů, čekajících na revizi, vyhovujících a kritických

Správa konfigurací je dostupná v hlavním menu pod Enterprise Functions → Configuration Management.

Licenční požadavek

Správa konfigurací je gatovaná licenční funkcí config_management, kterou mají licence PoC a Enterprise. U licence Small Business nebo bez licence vrací endpointy /api/v1/config-files, /api/v1/discovery-results a secret naming policy HTTP 403 a stránka zobrazí banner s výzvou k upgradu. Viz Licencování.

2. Jak funguje discovery agentem

Discovery konfigurací běží jako součást periodického skenu souborového systému agenta, společně s discovery certifikátů a keytabů.

  1. Agent si z backendu stáhne discovery policy bundle organizace. Bundle je sestaven ze všech aktivních konfiguračních šablon (discovery politiky, parsery, vzory tajemství, pravidla výjimek) a nese policy_version
  2. Soubory v nakonfigurovaných cestách jsou prohledány do nastavené hloubky; vyloučené cesty, přípony a názvy souborů jsou přeskočeny
  3. Typ souboru je určen z názvu a přípony:
Typ souboru Rozpoznán podle
env .env a *.env
yaml .yaml, .yml
json .json
ini .ini
properties .properties
toml .toml
xml .xml
  1. Obsah je porovnán se vzory parserů a vzory tajemství z bundle. Každá shoda tajemství zaznamená klíč, řádek a závažnost
  2. Cesta je klasifikována jako system, application nebo unknown podle klasifikačních cest politiky
  3. Z typu souboru, klasifikace, shod parseru a shod tajemství je spočítána míra spolehlivosti (0–1)
  4. Pro každou shodu tajemství je z pravidel rewrite plánu vygenerován krok rewrite plánu (cílová cesta tajemství, placeholder, důvod změny)
  5. Výsledky jsou odeslány na backend jako discovery results; perzistentní lokální index umožňuje agentovi při dalším běhu přeskočit nezměněné soubory, zatímco změna policy_version vynutí kompletní přehodnocení

Agenti z bundle dostávají také předpočítaný seznam kandidátů hesel, takže hodnoty již uložené v trezoru jsou při nálezu v souborech rozpoznány.

Cesty pro discovery

Skenované cesty, hloubka a typy souborů se definují v šablonách typu discovery policy (viz kapitola 6). Vlastní konfigurace agenta discovery.filesystem_paths / exclude_paths se vztahuje na discovery certifikátů; discovery konfigurací se řídí policy bundle.

3. Revize objevených konfigurací

Přejděte na Enterprise Functions → Configuration Management → Discovered Configurations.

Každý čekající výsledek discovery zobrazuje:

Sloupec Popis
File Path Úplná cesta na hostu a hlásící agent
Source Metoda discovery (sken souborového systému) a klasifikace
Secrets Detected Počet potenciálních tajemství nalezených porovnáním vzorů
Confidence Skóre 0 až 1; vyšší znamená, že soubor je pravděpodobněji skutečná aplikační konfigurace
Discovered První okamžik, kdy agent soubor nahlásil

Akce

Akce Účinek
Preview Zobrazí detekované vzory, jejich umístění a navržený rewrite plán
Adopt Vytvoří spravovaný konfigurační soubor ve vybraném projektu a označí výsledek jako adopted
Ignore Označí výsledek jako ignored s důvodem; přesune se do Staging Area a již se nezobrazuje jako čekající

Adopce souboru

  1. Klikněte na Adopt u výsledku discovery
  2. Vyberte projekt, který bude konfigurační soubor vlastnit
  3. Volitelně vložte nebo potvrďte obsah souboru, aby MazeVault mohl vytvořit první verzi
  4. Zvolte, zda extrahovat tajemství — pokud je zapnuto, každá detekovaná hodnota tajemství se uloží jako projektové tajemství a konfigurační soubor si k němu uloží referenci (secret_refs) včetně umístění v souboru
  5. Volitelně doplňte úvodní komentář
  6. Klikněte na Adopt

Spravovaný soubor je vytvořen se stavem managed, zdědí klasifikaci, míru spolehlivosti, verzi politiky a rewrite plán z výsledku discovery a získá verzi 1 s hashem původního obsahu. Adopce je zapsána do audit logu jako ADOPT_CONFIG_DISCOVERY_RESULT.

Extrakce tajemství

Extrakce tajemství zapíše detekované hodnoty do vybraného projektu jako nová tajemství. Nejprve zkontrolujte detekované vzory v Preview, aby se jako tajemství neuložily falešně pozitivní nálezy (např. ukázkové hodnoty nebo veřejné identifikátory).

Stavy výsledků discovery

Stav Popis
pending Nahlášen agentem, čeká na revizi
adopted Převeden na spravovaný konfigurační soubor
ignored Zamítnut s důvodem (suppressed_reason)

4. Přehledový dashboard

Záložka Overview shrnuje spravovaný inventář:

Karta Význam
Total Files Počet spravovaných konfiguračních souborů
Pending Review Soubory stále ve stavu discovered, které nebyly plně zpracovány
Compliant Soubory, jejichž rotation_status je compliant — všechna odkazovaná tajemství jsou v rámci rotační politiky
Critical Soubory, jejichž rotation_status je overdue — alespoň jedno odkazované tajemství zmeškalo rotaci

Tabulka pod kartami vypisuje každý spravovaný soubor s názvem, cestou, typem, stavem, stavem rotace, počtem odkazovaných tajemství a poslední aktualizací.

5. Staging Area

Záložka Staging Area vypisuje výsledky discovery, které byly ignorovány, spolu s uvedeným důvodem. Slouží k auditu dřívějších rozhodnutí nebo k přehodnocení souborů, které byly zamítnuty předčasně. Ignorované soubory jsou vyloučeny z fronty čekajících, ale zůstávají v databázi, aby je agent znovu nehlásil jako nové.

6. Konfigurační šablony a discovery politiky

Discovery konfigurací řídí konfigurační šablony definované na úrovni organizace v Project Settings → Config Templates. Šablony mají typ, JSON definici, prioritu a příznak aktivity; do policy bundle agenta se kompilují pouze aktivní šablony.

Typ šablony Účel Klíčová pole definice
discovery_policy Kde a jak agenti skenují scan_paths, scan_depth, file_types, confidence_threshold, auto_adopt, schedule, classification.system_paths / application_paths, rewrite_plan_rules, notifications
parser Jak se parsuje daný typ souboru file_types, patterns[] (pojmenované regexy), ignore_paths, max_file_size_kb, encoding
secret_pattern Co se považuje za tajemství patterns[] (name, type, regex, severity, false_positive_hints), entropy_threshold, min_length, max_length
exclusion_rule Co přeskočit rules[] (type, pattern, is_regex, reason), excluded_paths, excluded_extensions, excluded_filenames
naming_convention Šablony pojmenování zdrojů pro vykreslení, parsování a auto-provisioning názvů (s exportem do Terraformu) —
secret_naming_policy Pravidla, která musí tajemství splňovat; poskytuje endpointy check, compliance a suggest —
resource_visibility_policy Která pole daného typu zdroje jsou viditelná pro které role; upravovat mohou pouze administrátoři —

Každou šablonu lze před uložením validovat a zobrazit náhled — validace vrací chyby a varování na úrovni polí, náhled ukazuje, jak by se zkompilovaná politika chovala.

Pravidla rewrite plánu

Pravidlo rewrite plánu mapuje detekovaný klíč na umístění v trezoru:

{
  "name": "database-passwords",
  "key_pattern": "(?i)db_password|database\\.password",
  "secret_path_template": "{{classification}}/{{file_name}}/{{key}}",
  "placeholder_template": "${MAZEVAULT:{{secret_path}}}",
  "change_reason": "Move database password to vault"
}

Podporované placeholdery jsou {{classification}}, {{file_name}}, {{file_path}} a {{key}} v secret_path_template a {{secret_path}} v placeholder_template. Vykreslené tokeny jsou převedeny na malá písmena a sanitizovány. Výsledné kroky (action: replace_plaintext) se ukládají k výsledku discovery i k přijatému souboru (rewrite_plan), takže navržená změna je dohledatelná.

7. Verzování a reference na tajemství

Každý přijatý konfigurační soubor si uchovává neměnitelnou historii verzí:

Pole Popis
version_number Pořadové číslo verze
content_hash SHA-256 uloženého obsahu
change_type / change_summary / change_reason Co se změnilo a proč
changed_by Uživatel, který verzi vytvořil
approval_status Výchozí auto_approved; schvalovací workflow mohou vyžadovat explicitní schválení
secret_refs Tajemství odkazovaná touto verzí včetně umístění (JSONPath, XPath nebo odkaz na řádek)
rewrite_plan Kroky rewrite plánu platné pro tuto verzi

Původní i upravený (se vloženými tajemstvími) obsah se ukládá šifrovaně a API jej nikdy nevrací; vystaveny jsou pouze hashe a metadata.

8. Oprávnění

Oprávnění Popis Vestavěné role
config:read Zobrazení spravovaných souborů, výsledků discovery, přehledu a šablon org_admin, project_admin, user, secret_manager, certificate_manager
config:write Adopce nebo ignorování výsledků discovery; vytvoření, úprava, smazání, validace a náhled šablon org_admin, project_admin

Šablony typu resource visibility policy navíc vyžadují administrátorská práva. Položka menu Configuration Management se zobrazí každému, kdo má config:read; o funkčnosti stránky rozhoduje licenční funkce. Viz RBAC role.

9. Audit trail

Auditní akce Spouštěč
ADOPT_CONFIG_DISCOVERY_RESULT Výsledek discovery přijat (zaznamená projekt, cestu souboru, klasifikaci, verzi politiky, počet kroků rewrite plánu, příznak extrakce)
IGNORE_CONFIG_DISCOVERY_RESULT Výsledek discovery ignorován (zaznamená důvod)

Změny šablon a verze konfiguračních souborů se zaznamenávají prostřednictvím standardních auditních událostí organizace a projektu. Viz Audit logování.

Související