自托管密码库：为什么安全团队正在收回钥匙

我每隔几个月就会收到类似的问题：“我们是否应该自己托管密码管理器，而不是支付云端版本的费用？”老实说，这取决于你优化的目标。如果你想完全不用管理基础设施，就继续使用云端。如果你想确切知道凭证存放在哪里，谁最后操作了服务器，以及当供应商推送你未请求的更改时会发生什么，self-hosted password vault是更可辩护的选择。这是我在安全审查中最常被问到的问题，所以让我们来探讨实际的权衡。

什么是自托管密码库？

自托管密码库是一种密码管理器，其服务器组件运行在组织拥有或直接控制的基础设施上，而不是供应商的多租户云上。加密的密码库数据、数据库，通常还有encryption keys 保持在您的网络内或您自己的私有云账户中。供应商提供软件；您负责运行。

这就是与云密码管理器的核心区别：使用云工具时，供应商运营服务器，您信任他们的运营安全。使用自托管密码库时，您自己运营服务器并承担该责任，包括其优势。

为什么选择自托管

关于迁移到自托管密码库的大多数讨论，通常始于合规要求或董事会层面的问题，而非技术偏好。以下是通常驱动决策的因素。

真正的数据主权

无论压力来自您的董事会还是客户的安全问卷，自托管密码库都将数据主权从讨论点变为事实。凭据永远不会离开您控制的基础设施，这一点很重要，尤其当客户明确询问其供应商的秘密存放在哪里，并期望得到比“某处在AWS”更具体的答案时。

合规性和数据驻留

如果您的行业有严格的数据驻留规则，无论是国家数据保护法、特定行业法规，还是审计后制定的内部政策，自托管密码库都能满足共享多租户SaaS密码库无法单独满足的要求。您可以控制数据所在的区域、数据存放的时间以及谁可以访问基础设施层，而不仅仅是应用层。

应用您自己的安全模型

自托管密码库让您可以用自己的控制措施来管理部署：您的防火墙规则、反向代理、网络分段、入侵检测。您不必局限于供应商认为适合所有客户的边界。如果您的组织已经运行了强化的DMZ或zero trust网络，密码库就会融入该模型，而不是独立存在。

控制您自己的备份和可用性

使用云端保险库时，您的恢复点和恢复时间目标由供应商的SLA决定。自托管密码保险库让您掌控备份频率、保留和故障切换。可在容器中运行，按自己的计划快照数据库，并在业务连续性计划需要时复制到第二个站点。发生事件时，您无需等待供应商状态页面。

无需等待供应商路线图，即可满足不断变化的合规要求

自托管密码库为您提供环境变量和配置灵活性，使部署能够随着合规要求的变化而调整，无需提交功能请求或等待供应商的下一个发布周期。

您看到重大变更即将到来

这是没人会放在登陆页面上的内容，但任何运营自托管基础设施超过一年的管理员都深有体会。云供应商随时推送更新，你会在集成停止工作时才发现重大变更。自托管密码库让你掌控升级路径。你可以阅读更新日志，在预发布环境测试，并在准备好之前锁定版本。仅仅这一做法——锁定已知良好的版本，并按照自己的计划升级，而非供应商的计划——就是计划维护窗口和非计划停机之间的区别。

本地缓存和离线访问

部署在您自己网络上的自托管密码库，即使在互联网连接中断时也能继续工作。如果WAN链路断开或供应商的云服务出现故障，您的团队仍然需要共享服务账户密码来解决实际问题。客户端的本地缓存与位于您自己网络内的密码库相结合，意味着凭据访问不依赖第三方的正常运行时间。这是自托管密码库较为隐秘的优势之一，但往往也是说服值班工程师的关键。

如何选择自托管密码库：承诺前需检查的事项

没有单一的自托管密码库适合所有团队，选项之间的差异比大多数供应商页面承认的更重要。在确定之前，请用相同的四个标准评估每个候选项。

这些标准中没有一个明确偏向某种部署模型。请针对您正在评估的候选方案进行比较。

开源与专有自托管Vaults

开源自托管工具让您的安全团队能够阅读代码、验证加密并直接审计实施，而不是仅仅相信供应商的话。这种透明度是真正的价值，但也有代价：社区维护的项目并不总是具备合规团队进行供应商风险评估所需的正式第三方审计记录或服务级别协议（SLA）。

包括 Netwrix Password Secure 在内的专有自托管工具，通过供应商支持、文档化审计以及出现问题时有合同责任方承担责任，弥补了这一差距。两种模式均无绝对优劣。开源适合具备内部专业知识自行审查和维护代码的团队。专有自托管工具适合希望掌控自托管但不放弃供应商责任的团队。无论如何，运行自托管密码库的决定，实际上是关于谁审查代码以及出现问题时谁负责接听电话的决定。

没人提及的设置问题

这是一个合理的问题，也经常被提及：如果自托管密码库旨在消除对第三方托付秘密的需求，那么最初用于设置密码库的凭据由什么保护？数据库密码、管理员账户、初始加密密钥：这些必须在自托管密码库存在之前存放在某处。

这完全无法避免，任何声称可以的供应商都忽视了引导问题。您可以做的是将暴露窗口最小化。使用本地密码生成器生成设置凭据，而不是重复使用密码。将初始管理员密钥存放在密封的离线位置、硬件令牌或保险箱中的打印副本中，而不是同一服务器上的文本文件中。vault上线后立即更换设置凭据，并删除不需要保留的设置账户。设置阶段是“所有内容都存储在vault中”的短暂且有意的例外，而不是运行良好的自托管密码vault安全模型中的永久漏洞。

真正的数据主权与董事会对话

当董事会成员或客户的采购团队询问“这些数据实际上存储在哪里”时，使用云保险库的诚实回答通常是“供应商基础设施本季度所在的位置”。自托管密码保险库给出明确答案：这里，在这个数据中心，这台服务器，遵循这条访问控制策略。正是这种具体性将数据主权从营销用语转变为可审计的事实，这也是受监管行业即使面临实际运营负担，仍不断回归自托管的原因。

企业金库与个人金库的不同适用场景

以上内容适用于保护家庭实验室或拥有5,000名员工的团队，但规模会影响“self-hosted”需要提供的功能。个人自托管密码库通常是由一名管理员管理少量用户构建的。Netwrix Password Secure 针对相反的问题而设计：针对整个团队的集中治理，具备基于角色的访问权限、特权密钥的审批流程，以及IT可以轻松提供给审计员的完整审计轨迹。它作为自托管密码库运行，支持云端、本地或混合部署，因此数据所有权决策由您的组织而非SaaS供应商决定，同时为每位员工（不仅仅是IT团队）提供一个受管控的凭据存储场所。

云端消费者工具与自托管替代方案

许多在云密码管理器和自托管选项之间犹豫的人都会遇到同样的两个问题。这两个问题都值得直接回答。

实际区别是什么？

云端消费者密码管理器仅限SaaS：供应商运营基础设施，进行补丁更新，并持有加密保险库。您无需维护，拥有一个精致且即用型的界面，但您完全信任该供应商的基础设施、补丁频率和事件响应。自托管方案则将加密保险库放在您控制的服务器上。您放弃“开箱即用”的简便性，自行负责补丁、备份和正常运行时间，但凭据永远不会存放在您不拥有的基础设施上。

本地机器访问是否意味着本地密码访问？

信誉良好的密码管理器，无论是云端还是自托管，都使用零知识端到端加密：您的主密码生成解密保险库的密钥，而解密过程发生在您的设备上，而非服务器上。如果您的保险库被锁定，且有人在没有主密码的情况下获得您的机器，他们看到的只是密文。但如果您的保险库已解锁，或者攻击者能够在您输入主密码时捕获它（键盘记录器、具有剪贴板访问权限的恶意软件、被攻破的浏览器扩展），加密就不再是保护您的手段。选择自托管密码保险库改变了加密数据的存放位置；但不会改变设备在保险库开启时被攻破后发生的情况。这是一个端点安全问题，而非托管模型问题，无论选择哪个保险库，都值得通过设备卫生和短自动锁定计时器来解决。

结论

自托管密码库将安全控制权放在应有的位置：掌握在您手中，而非第三方。您承担运行服务器的操作工作，作为回报，您可以直接控制凭据存放位置、备份方式、更新时机以及每个层级谁能访问密码库。对于有真实数据主权需求、受监管环境或已超出消费级密码库的团队来说，这种控制不是可选的，而是核心所在。

如果您的团队已经到了电子表格和个人保险库成为实际风险而非解决方案的阶段，那么值得考虑一个具有集中治理的自托管端到端加密的员工保险库。了解 Netwrix Password Secure 如何处理自托管的员工密码管理。