Intégration Delinea Secret Server

GGScout prend en charge l'intégration avec Delinea Secret Server pour collecter et surveiller vos secrets. Ce guide vous aidera à mettre en place et configurer l'intégration.

Fonctionnalités prises en charge

• Collecte de plusieurs versions de secrets
• Authentification OAuth
• Configuration spécifique au tenant
• Prise en charge inter-environnements

Configuration

Pour configurer GGScout afin qu'il fonctionne avec Delinea Secret Server, ajoutez la configuration suivante à votre fichier ggscout.toml :

[sources.delinea]
type = "delineasecretserver"
auth_mode = "oauth"
client_id = "${DELINEA_CLIENT_ID}"
client_secret = "${DELINEA_CLIENT_SECRET}"
fetch_all_versions = true
tenant = "${DELINEA_TENANT}"
tld = "com"
mode = "read"
env = "production"
owner = "devops-team@example.com"

[[sources.delinea.include]]
resource_ids = ["app/*", "database/*", "api-key"]

[[sources.delinea.exclude]]
resource_ids = ["test/*", "temp/*", "old-secret"]

Paramètres de configuration

Paramètre	Description	Requis	Valeur par défaut
type	Doit être défini sur "delineasecretserver"	Oui
auth_mode	Mode d'authentification (par ex. « oauth »)	Oui
client_id	L'identifiant client pour l'authentification OAuth	Oui
client_secret	Le secret client pour l'authentification OAuth	Oui
tenant	L'ID de votre tenant Delinea	Oui
tld	Domaine de premier niveau (par ex. « com »)	Non	"com"
fetch_all_versions	Indique s'il faut collecter toutes les versions des secrets	Oui
mode	Mode d'intégration (l'un de : « read », « write », « read/write »)	Non	"read"
env	Environnement des secrets de cette source. Voir comment les environnements sont déduits	Non
owner	Propriétaire de cette source (un e-mail, généralement celui d'un employé ou d'une équipe)	Non
[[sources.<name>.include]]	Table des motifs de resource_id à inclure (voir ci-dessous)	Non
[[sources.<name>.exclude]]	Table des motifs de resource_id à exclure (voir ci-dessous)	Non

Remarque :

• Utilisez les tables [[sources.<name>.include]] et [[sources.<name>.exclude]] pour spécifier plusieurs règles d'inclusion/exclusion. Chaque table doit comporter un tableau resource_ids.
• Les motifs prennent en charge les caractères génériques (*) uniquement à la fin pour la correspondance par préfixe. Pour des correspondances exactes, spécifiez le nom complet sans caractères génériques.
• GitGuardian ne lit aucun chemin ni tag des secrets Delinea, donc env est l'environnement de chaque secret de cette source.

Authentification

GGScout prend en charge l'authentification avec Delinea Secret Server via :

1. OAuth : à l'aide de l'identifiant client et du secret
2. Variables d'environnement : à l'aide des variables d'environnement Delinea standard

Variables d'environnement

• DELINEA_CLIENT_ID : votre identifiant client Delinea
• DELINEA_CLIENT_SECRET : votre secret client Delinea
• DELINEA_TENANT : l'ID de votre tenant Delinea

Bonnes pratiques

1. Utilisez des variables d'environnement pour les identifiants sensibles
2. Suivez le principe du moindre privilège pour les politiques d'accès
3. Activez fetch_all_versions pour suivre les modifications de vos secrets au fil du temps
4. Effectuez une rotation régulière des secrets client
5. Utilisez des tenants distincts pour différents environnements
6. Mettez en place des politiques de rotation des secrets appropriées
7. Surveillez les journaux d'accès pour détecter toute activité suspecte
8. Utilisez des politiques de mots de passe robustes pour les secrets