Sync: update organization management notes
This commit is contained in:
@@ -4,6 +4,7 @@
|
||||
- [Overview](overview.md) — living synthesis
|
||||
|
||||
## Sources
|
||||
- [2026-04-24] [CTP Topic 62 AWS Secrets Manager](sources/ctp-topic-62-aws-secrets-manager.md)
|
||||
- [2026-04-24] [Public Cloud Learning Sessions - OpenText GIS Security Policies - 20241015](sources/public-cloud-learning-sessions-opentext-gis-security-policies-20241015-160257-me.md)
|
||||
- [2026-04-24] [CTP Topic 64 Scaling out with Amazon EKS](sources/ctp-topic-64-scaling-out-with-amazon-eks.md)
|
||||
- [2026-04-24] [CTP Topic 67 Cloud native observability using OpenTelemetry](sources/ctp-topic-67-cloud-native-observability-using-opentelemetry.md)
|
||||
@@ -413,7 +414,6 @@
|
||||
- [2026-04-19] [ctp-topic-52-3-lines-of-defence-3lod-framework-cloud-security-posture-management](sources/ctp-topic-52-3-lines-of-defence-3lod-framework-cloud-security-posture-management.md) — (expected: wiki/sources/ctp-topic-52-3-lines-of-defence-3lod-framework-cloud-security-posture-management.md — source missing)
|
||||
- [2026-04-19] [ctp-topic-55-aws-firewall-manager](sources/ctp-topic-55-aws-firewall-manager.md) — (expected: wiki/sources/ctp-topic-55-aws-firewall-manager.md — source missing)
|
||||
- [2026-04-19] [ctp-topic-37-secrets-certificates-management](sources/ctp-topic-37-secrets-certificates-management.md) — (expected: wiki/sources/ctp-topic-37-secrets-certificates-management.md — source missing)
|
||||
- [2026-04-19] [ctp-topic-62-aws-secrets-manager](sources/ctp-topic-62-aws-secrets-manager.md) — (expected: wiki/sources/ctp-topic-62-aws-secrets-manager.md — source missing)
|
||||
- [Your-AI-Isn-t-Stupid---It-Just-Needs-a-Better-Harness--Lychee-Technology-Engineering-Blog](sources/Your-AI-Isn-t-Stupid---It-Just-Needs-a-Better-Harness--Lychee-Technology-Engineering-Blog.md) — (expected: wiki/sources/Your-AI-Isn-t-Stupid---It-Just-Needs-a-Better-Harness--Lychee-Technology-Engineering-Blog.md — source missing)
|
||||
- [Expose-hermes-agent-as-an-OpenAI-compatible-API-for-any-frontend](sources/Expose-hermes-agent-as-an-OpenAI-compatible-API-for-any-frontend.md) — (expected: wiki/sources/Expose-hermes-agent-as-an-OpenAI-compatible-API-for-any-frontend.md — source missing)
|
||||
- [zk-steward](sources/zk-steward.md) — (expected: wiki/sources/zk-steward.md — source missing)
|
||||
|
||||
@@ -1,3 +1,12 @@
|
||||
## [2026-04-30] ingest | CTP Topic 62 AWS Secrets Manager
|
||||
- Source file: Cloud & DevOps/Public-Cloud-Learning-Sessions/07_Security/ctp-topic-62-aws-secrets-manager.md
|
||||
- Status: ✅ 成功摄入
|
||||
- Summary: AWS Secrets Manager 企业级密钥管理——Nurit & Daniel 分享。选型：HashiCorp Vault vs AWS Secrets Manager POC，AWS Secrets Manager 以更低成本和更简实施胜出。分阶段实施：集中化密钥 → 自动化获取 → 轮换。核心原则：开发者无需直接访问密钥，IAM 角色+标签控制访问。实施案例：Oracle DB 密码轮换（Lambda）、SendGrid API 密钥集中化轮换（无需应用重启）、JDBC Wrapper + AWS SDK 免密登录。
|
||||
- Concepts identified: [[Secrets-Management]], [[Secret-Rotation]], [[JDBC-Wrapper]], [[AWS-Secrets-Manager]], [[HashiCorp-Vault]]（HashiCorp Vault 作为备选方案被记录于源页面，实体重要性待定）
|
||||
- Entities identified: [[Nurit]], [[Daniel]], [[Victor]]（CTP Topic 62 演讲者和演示者，作为演讲者提及一次，暂不创建独立页面）
|
||||
- Source page: wiki/sources/ctp-topic-62-aws-secrets-manager.md
|
||||
- Notes: 无冲突检测；相关来源 [[ctp-topic-37-secrets-certificates-management]] 和 [[ctp-topic-36-sendgrid-as-an-email-service]] 已于 Contradictions 和 Connections 节记录
|
||||
|
||||
## [2026-04-29] ingest | Public Cloud Learning Sessions - OpenText GIS Security Policies - 20241015
|
||||
- Source file: Cloud & DevOps/Public-Cloud-Learning-Sessions/07_Security/public-cloud-learning-sessions-opentext-gis-security-policies-20241015-160257-me.md
|
||||
- Status: ✅ 成功摄入
|
||||
|
||||
@@ -131,6 +131,8 @@ Key concepts: [[Process]], [[Value]], [[Value-Stream]], [[Value-Adding]], [[Wast
|
||||
|
||||
**[[public-cloud-learning-sessions-opentext-thor-platform-flows-20241210-160056-meet]]**（Learning Sessions，Arnold Dacan 主讲）：Project Thor 平台架构与数据流设计详解——五大支柱框架（敏捷周期治理、产品发布治理、开发者门户 Backstage、安全与治理、Build Hub）；核心数据流：源代码流（GitLab）→ 制造流程（Build Farms）→ Artifactory → 客户环境；地理分布：工具链主站点 Brook Park + 灾备站点 Sacramento；标准化目标：统一 GitLab/Artifactory/UCMDB 工具链，夯实供应链安全基础。属 [[DevOps Culture]] 企业级工具链标准化与供应链安全的深度补充，与 GitHub→GitLab 迁移文档共同构成 Project Thor 知识体系。
|
||||
|
||||
**[[ctp-topic-62-aws-secrets-manager]]**（CTP Topic 62）：AWS Secrets Manager 企业级密钥管理深度实践——Nurit 和 Daniel 分享。核心内容：①选型背景——HashiCorp Vault 与 AWS Secrets Manager POC 对比，AWS Secrets Manager 以更低成本和更简实施被选定为最终方案；②AWS Secrets Management Standard 文档——最佳实践文档演变为公有云密钥管理标准，基于 Control Tower 实施经验，包含分阶段方法论（集中化密钥 → 调整自动化获取 → 启动轮换）；③核心原则——开发者无需直接访问密钥，通过 IAM 角色和标签实现访问控制；④实施机会——Oracle DB 用户密码轮换（Lambda 函数连接 Oracle 实例执行轮换，无需邮件传递密码）、SendGrid 集中邮件服务（API 密钥轮换通过集中 SMTP 服务实现，无需应用重启或代码修改）；⑤Demo——Victor 演示使用 JDBC Wrapper + AWS SDK 免密登录 Oracle 数据库，用户名由角色控制，密钥可通过标签进行分类和访问控制。属 [[AWS-Secrets-Manager]] 在企业落地的核心实践，与 [[ctp-topic-37-secrets-certificates-management]]（Secrets 与 Certificates 统一管理框架）互补，与 [[ctp-topic-36-sendgrid-as-an-email-service]]（SendGrid 邮件服务）共同构成安全运维知识体系。
|
||||
|
||||
**[[public-cloud-learning-sessions-opentext-gis-security-policies-20241015-160257-me]]**（Learning Sessions，Mike & Ed 主讲）：OpenText 全球信息安全团队（GIS）安全策略全景——GIS 是分层组织架构，包含安全运营（事件响应与保障）、合规（认证与政策执行）、治理风险验证（GRV，季度审查 Admin 角色）、隐私（新增集成中）四个支柱。OpenText 采用分层方法定义安全策略——与各团队协作定义"做什么"，与执行团队协作确定"怎么做"；持有 FedRAMP 等多项行业及政府认证，可进入多个垂直市场销售；每月处理 2250 亿条日志，分诊约 350 个案例。姿态框架基于 ISO 27001（2022 年更新，新增 11 个控制方面）；Global Information Security Policy（GISP）是最高纲领性政策，季度审查。安全运营涵盖 Cyber Response Center、威胁情报（BrightCloud）、云安全、安全工具与工程等核心服务；合规组织涵盖合规项目、路线图、产品风险评估、持续合规与审计、自动化等内容。属企业级安全治理体系的核心入门，与 [[ctp-topic-10-aws-landing-zone-lz-data-collection-tagging-related-security]]（AWS 层面标签化安全）互补——GISP 定义全局政策纲领，Landing Zone 层面通过标签和 SCP 实现技术落地。
|
||||
|
||||
**[[ctp-topic-28-aws-tag-validation-tool]]**（CTP Topic 28）：AWS 标签验证工具——Lewis Brown 主讲，SRE 团队开发的 Python/Boto3 工具。Checkpoint 防火墙通过读取 EC2、安全组、负载均衡器的标签值动态配置网络访问策略，标签缺失或无效将导致流量被拦截；SCPs 可阻止不合规资源创建但无法修复存量资源。该工具通过 `variables.yaml` 定义每个账户的合法标签值，自动扫描 EC2/安全组/负载均衡器/Lambda，生成 CSV 审计报告。使用 Poetry 管理 Python 环境，存放于 SRE Tools Repository。标签策略还计划用于未来成本核算，区分同一账户下不同产品的资源消耗。属 [[AWS-Landing-Zone]] 标签治理闭环的核心补充——制定规范（Topic 10）→ 强制执行（SCPs）→ 审计发现（Topic 28）。
|
||||
|
||||
59
wiki/sources/ctp-topic-62-aws-secrets-manager.md
Normal file
59
wiki/sources/ctp-topic-62-aws-secrets-manager.md
Normal file
@@ -0,0 +1,59 @@
|
||||
---
|
||||
title: "CTP Topic 62 AWS Secrets Manager"
|
||||
type: source
|
||||
tags: []
|
||||
date: 2026-04-14
|
||||
---
|
||||
|
||||
## Source File
|
||||
- [[Cloud & DevOps/Public-Cloud-Learning-Sessions/07_Security/ctp-topic-62-aws-secrets-manager.md]]
|
||||
|
||||
## Summary（用中文描述）
|
||||
- 核心主题：AWS Secrets Manager 企业级密钥管理方案，包括选型对比、实施标准和落地案例
|
||||
- 问题域：云转型过程中密钥安全存储与轮换的标准化治理
|
||||
- 方法/机制：分阶段实施策略（集中化密钥 → 自动化获取 → 轮换）；Lambda 函数驱动 Oracle 数据库密码轮换；SendGrid 集中邮件服务的密钥轮换方案；JDBC Wrapper + AWS SDK 无需应用感知密钥
|
||||
- 结论/价值：AWS Secrets Manager 相比 HashiCorp Vault 成本更低、实施更简单，无需客户端；开发者无需直接访问密钥，通过角色和标签实现安全访问控制
|
||||
|
||||
## Key Claims（用中文描述）
|
||||
- AWS Secrets Manager 比 HashiCorp Vault 更具成本效益，被选定为最终方案
|
||||
- AWS Secrets Manager 易于实施，缺失功能可用多种语言自行开发
|
||||
- 分阶段实施策略：集中化密钥 → 调整自动化获取 → 启动轮换
|
||||
- 开发者无需直接访问密钥，密钥访问通过 IAM 角色控制
|
||||
- Lambda 函数可执行 Oracle 数据库密码轮换，无需人工介入
|
||||
- SendGrid 集中邮件服务实现 API 密钥轮换，无需应用重启
|
||||
- AWS Secrets Manager 无需客户端软件（对比 HashiCorp Vault）
|
||||
|
||||
## Key Quotes
|
||||
> "AWS Secrets Manager is easy and simple to implement. Missing features can be developed in multiple languages." — Nurit & Daniel
|
||||
> "With that idea, developers actually do not need to have direct access to their Secrets." — Daniel
|
||||
> "Secrets can be tagged for classification and access control. AWS Secrets Manager does not require clients, unlike HashiCorp Vault." — Victor（Demo）
|
||||
|
||||
## Key Concepts
|
||||
- [[Secrets-Management（密钥管理）]]：云环境下集中存储、获取和轮换敏感凭证（密码、API 密钥、证书）的标准化实践
|
||||
- [[AWS-Secrets-Manager]]：AWS 托管的密钥管理服务，支持密钥轮换、IAM 角色访问控制和标签分类，无需客户端软件
|
||||
- [[Secret-Rotation（密钥轮换）]]：定期自动更新密钥的机制，AWS Secrets Manager 内置 Lambda 函数支持主流数据库和服务密钥轮换
|
||||
- [[JDBC-Wrapper]]：JDBC 包装器封装数据库连接，通过 AWS SDK 从 Secrets Manager 动态获取凭证，应用无需硬编码密码
|
||||
- [[AWS-Lambda]]：无服务器函数，用于执行 Oracle 数据库密码轮换等自动化任务
|
||||
- [[SendGrid]]：云邮件服务，API 密钥轮换通过集中化 SMTP 服务实现，无需应用重启
|
||||
|
||||
## Key Entities
|
||||
- [[Nurit]]：CTP Topic 62 主持人，AWS Secrets Manager 实施分享
|
||||
- [[Daniel]]：CTP Topic 62 主持人，AWS Secrets Management Standard 文档作者，深度解析实施机会
|
||||
- [[Victor]]：Demo 演示者，展示使用 JDBC Wrapper + AWS SDK 免密登录 Oracle 数据库
|
||||
- [[AWS-Secrets-Manager]]：AWS 密钥管理服务，企业选型最终方案
|
||||
- [[HashiCorp-Vault]]：密钥管理备选方案，POC 阶段对比后未被采用
|
||||
- [[AWS-Control-Tower]]：AWS 多账户治理服务，密钥管理方案基于其环境实施
|
||||
- [[SendGrid]]：邮件服务，API 密钥轮换通过集中化服务方案解决
|
||||
|
||||
## Connections
|
||||
- [[ctp-topic-37-secrets-certificates-management]] ← relates_to ← [[ctp-topic-62-aws-secrets-manager]]
|
||||
- [[ctp-topic-36-sendgrid-as-an-email-service]] ← extends ← [[ctp-topic-62-aws-secrets-manager]]
|
||||
- [[ctp-topic-61-workload-vpc-provision-with-ipam-automation]] ← depends_on ← [[AWS-Secrets-Manager]]
|
||||
- [[ctp-topic-10-aws-landing-zone-lz-data-collection-tagging-related-security]] ← extends ← [[ctp-topic-62-aws-secrets-manager]]
|
||||
|
||||
## Contradictions
|
||||
- 与 [[ctp-topic-37-secrets-certificates-management]] 存在覆盖范围差异：
|
||||
- 冲突点：Topic 37 覆盖 Secrets 和 Certificates 两大类；Topic 62 仅聚焦 Secrets Management
|
||||
- 当前观点：Topic 62 通过 AWS Secrets Manager 标准化 Secrets 管理，涵盖 Oracle DB 密码和 SendGrid API 密钥轮换
|
||||
- 对方观点：Topic 37 认为密钥与证书管理应统一为同一标准框架
|
||||
- 说明：两者可视为互补——证书管理（Certificates）由 Topic 37 覆盖，密钥管理（Secrets）由 Topic 62 深化
|
||||
Reference in New Issue
Block a user