GitLab Secrets Manager

Mais precisão para os agentes, menor custo com tokens
Saiba como fortalecer sua fábrica de software e permitir que os agentes de IA ganhem autonomia sem comprometer a segurança.
Acompanhe as melhorias e os recursos mais recentes.
Gerenciador de segredos
Acabe com a expansão de segredos usando o GitLab Secrets Manager, com tecnologia OpenBao. Segredos de pipeline e runtime lidos em um repositório, governados pelas permissões e pela trilha de auditoria que já cobrem seu código.
Gerencie segredos onde os desenvolvedores já trabalham
Com o GitLab Secrets Manager, os segredos ficam nos mesmos grupos e projetos do código que os utiliza. As solicitações se encaixam no fluxo de trabalho normal, sem a necessidade de plugin, agente ou segunda ferramenta para aprender.
O acesso segue sua hierarquia de grupos e projetos existente, enquanto as permissões detalhadas oferecem controle extra. Não há um segundo modelo de acesso para manter sincronizado. Defina uma credencial uma vez no nível do projeto ou compartilhada em todo o grupo. Qualquer pessoa que sair de um projeto perde o acesso automaticamente.
Um desenvolvedor declara o segredo que um job precisa com a palavra-chave "segredos" no arquivo de configuração do pipeline. Como o GitLab já conhece o projeto, o branch e o ambiente do trabalho, não há identidade para conectar entre a CI e um cofre separado.
Quando uma referência secreta quebra, o conserto é enviado no mesmo merge request que o código, sem um segundo repo ou aprovador. Com credenciais seguras a um passo de distância, menos segredos vão parar em variáveis de CI, arquivos de configuração locais ou no repo.
Limite o raio de impacto da exposição de credenciais
Quando uma dependência comprometida é executada dentro de um job, a limpeza com o GitLab Secrets Manager inclui rotacionar e auditar os segredos que o job poderia alcançar, em vez de congelar cada pipeline.
Ao contrário das variáveis de CI, que alcançam todos os jobs no pipeline, um segredo alcança apenas os jobs que o declaram e estão dentro de seu escopo: branch, ambiente e status de proteção.
O Secrets Manager escreve o valor em um arquivo temporário e expõe apenas seu caminho, limitando a exposição em subprocessos, dumps de falha e telemetria. Como o valor é mascarado nos logs do job e descartado quando o job termina, nada persiste no runner.
Os eventos de criação, leitura, atualização e exclusão entram na mesma trilha de auditoria que o restante do GitLab. As leituras de pipeline carregam os IDs de pipeline e de trabalho para que os respondentes e auditores rastreiem uma credencial do acesso ao deployment sem correlacionar logs entre sistemas manualmente.
Um repositório para pipelines, clusters e infraestrutura
Os pipelines leem segredos diretamente. Cargas de trabalho do Kubernetes, execuções do Terraform e OpenTofu, ferramentas de CLI compatíveis com Vault e outras automações se conectam por pontos de integração padrão, com as mesmas permissões e trilha de auditoria dos pipelines.
O External Secrets Operator mantém os Kubernetes Secrets sincronizados com o GitLab para que os valores rotacionados se propaguem sem um novo deployment. O Terraform e o OpenTofu leem segredos como uma fonte de dados quando são executados, mantendo as credenciais fora de arquivos e variáveis de CI/CD.
Com tecnologia OpenBao, o Secrets Manager expõe uma API compatível com o Vault para que as equipes que já estão criando scripts com o OpenBao ou a CLI do Vault mantenham os comandos que possuem. Qualquer outra automação faz fetch de segredos usando a API do Secrets Manager em vez de embutir credenciais no código ou manter arquivos de variáveis separados.
As credenciais seguem cargas de trabalho multi-cloud, híbridas e no local sem federação de identidade por plataforma. Para mover uma carga de trabalho para outra nuvem, não é preciso montar um segundo repositório. Os segredos espalhados por repositórios por conta e por região ficam em um só lugar.
O GitLab faz mais do que gerenciar credenciais. A proteção contra push de segredos impede credenciais de chegarem ao repositório. Já a detecção no lado do cliente captura segredos no texto de issue e merge request, enquanto a detecção de segredos no pipeline encontra segredos já no código. A Duo Agent Platform faz triagem das descobertas e sinaliza falsos positivos prováveis.
O GitLab Secrets Manager é um complemento pago para Premium e Ultimate, cobrado na forma de Créditos GitLab: 1 crédito por segredo armazenado por mês e 1 crédito por 2.500 operações de leitura de segredo. Se você preferir uma taxa fixa, um acordo de licença empresarial (ELA) está disponível.
// ASSUMA O CONTROLE DOS PRÓXIMOS PASSOS
Já é cliente Premium ou Ultimate? Você pode testar o GitLab Secrets Manager grátis por 30 dias ou 500 créditos de avaliação (o que ocorrer primeiro).
O GitLab construiu esse framework de maturidade com base em seu trabalho com clientes líderes no setor. Para descobrir sua pontuação de maturidade e recomendações para a próxima fase, responda a algumas perguntas sobre como sua equipe lida com a segurança e a conformidade.
O teste leva no máximo 5 minutos
Eles continuam funcionando. Nada é migrado automaticamente. As variáveis de CI/CD continuam sendo adequadas para configurações não sensíveis. Para encontrar candidatos à migração, use a ferramenta de auditoria de segredos para variáveis de CI/CD para identificar quais variáveis contêm credenciais. Em seguida, mova esses valores para o Secrets Manager no seu próprio ritmo.
Sim, tudo permanece igual. As integrações existentes para HashiCorp Vault, AWS Secrets Manager, Azure Key Vault e Google Cloud Secret Manager rodam em paralelo com o GitLab Secrets Manager.
O GitLab Secrets Manager está disponível para clientes Premium e Ultimate. Ele está disponível no GitLab.com e no GitLab Self-Managed. O suporte para GitLab Dedicated está chegando em breve.
O GitLab Secrets Manager é um complemento pago cobrado na forma de Créditos GitLab. Um segredo armazenado por um mês co