DA940-14
Dịch vụ nền tảng dữ liệu và dùng chung
TRONG 1–2 NĂM
Quản lý bí mật và cấu hình tập trung (tương đương AWS Secrets Manager, Parameter Store)
Bài toán, vấn đề cốt lõi
Hàng trăm dịch vụ của VNeID cần dùng chung một cách an toàn các bí mật (khóa API, mật khẩu cơ sở dữ liệu,
chứng thư) và tham số cấu hình. Nếu các bí mật này nằm rải rác trong mã nguồn, tệp cấu hình hay biến môi
trường thì đây là lỗ hổng rò rỉ nghiêm trọng nhất và phổ biến nhất. Dịch vụ Secrets Manager và Parameter
Store giải quyết việc lưu trữ, phân phối, xoay vòng bí mật tập trung.
Mô tả về giải pháp
Về nghiệp vụ: cung cấp kho bí mật và cấu hình tập trung, phân quyền chặt, tự động xoay vòng và ghi vết mọi
lần truy cập. Về kỹ thuật: xây dựng trên HashiCorp Vault hoặc bản rẽ nhánh nguồn mở OpenBao (do Linux
Foundation quản trị), tích hợp với HSM (Giải pháp 05) làm gốc tin cậy để bảo vệ khóa chủ; cấp bí mật động
theo vòng đời ngắn thay vì bí mật tĩnh; đồng bộ vào Kubernetes qua cơ chế external-secrets; toàn bộ truy cập
được ghi nhật ký về SOC. Công nghệ nền là nguồn mở phổ biến, đội ngũ trong nước làm chủ
được nhanh.
Sự cần thiết đối với VNeID
Phương thức áp dụng: mọi dịch vụ VNeID lấy bí mật từ kho tập trung lúc chạy, không lưu bí mật tĩnh trong mã
hay cấu hình; bí mật được xoay vòng định kỳ tự động. Mục tiêu cụ thể: không còn bí mật nào nằm ngoài kho
được kiểm soát, mọi truy cập bí mật đều có vết kiểm toán phục vụ điều tra sự cố — đáp ứng yêu cầu lưu vết
của Luật Bảo vệ dữ liệu cá nhân và quy chuẩn Cấp độ 4.
RỦI RO KHI KHÔNG LÀM CHỦ ĐƯỢC CÔNG NGHỆ
Bí mật bị lộ là một trong những nguyên nhân vi phạm dữ liệu hàng đầu trên thế giới — vô số vụ rò rỉ
quy mô lớn bắt nguồn từ khóa truy cập bị lộ trong kho mã nguồn hoặc tệp cấu hình. Nếu dùng dịch vụ
quản lý bí mật đóng của nước ngoài, chính chìa khóa vào toàn bộ hệ thống định danh quốc gia lại được
ký thác cho bên thứ ba ngoài lãnh thổ; còn nếu không có hệ thống tập trung nào, bí mật sẽ nằm rải rác
và sớm muộn bị rò rỉ. Cả hai thái cực đều không chấp nhận được, buộc phải tự làm chủ trên nền nguồn
mở neo vào HSM trong nước.
