# 产品功能
凭据管理服务（Cloud Secret Management Service，CSMS），是一种安全、可靠、简单易用的凭据托管服务。用户或应用程序通过凭据管理服务，创建、检索、更新、删除凭据，轻松实现对敏感凭据的全生命周期的统一管理，有效避免程序硬编码或明文配置等问题导致的敏感信息泄露以及权限失控带来的业务风险。
#### 凭据统一管理
凭据管理CSMS提供凭据的[全生命周期管理](https://support.huaweicloud.com/usermanual-dew/dew_01_9993.html)（创建、查看、删除、备份和恢复凭据）。
应用系统中存在大量的敏感凭据信息，且分散到不同业务部门及系统，管理混乱，缺乏集中管理工具。
通过凭据管理服务对敏感凭据进行统一的存储、检索、使用等全生命周期管控。
解决方案说明如下：
1. 用户或管理员对应用敏感凭据进行收集。
2. 将收集的敏感凭据上传托管到凭据管理服务。
3. 通过IAM细粒度功能，对每个凭据的访问和使用配置对应的权限策略。
 
#### 凭据安全检索
应用程序访问数据库或其他服务时，需要提供如密码、令牌、证书、SSH 密钥、API 密钥等各种类型的凭据信息进行身份校验，通常是直接使用明文方式将上述凭据嵌入在应用程序的配置文件中。该场景存在凭据信息硬编码、明文存储易泄露和安全性较低等风险问题。
通过凭据管理服务，用户可以将代码中的硬编码替换为对API 的调用，以便用编程的方式动态查询凭据，由于该凭据中不包含敏感信息，保证凭据不被泄露。
解决方案说明如下：
应用读取配置时，调用凭据管理服务API检索读取凭据（代替硬编码和明文凭据）。
#### 轮换凭据和密钥
为提升系统安全性，需要对敏感凭据进行定期更新。[凭据轮换](https://support.huaweicloud.com/usermanual-dew/dew_01_2005.html)时要求对目标凭据具备依赖性的应用或配置同步更新，多应用系统凭据更新容易遗漏，可能带来业务中断风险。
通过凭据管理服务，提供凭据多版本管理，应用节点通过API/SDK调用实现应用层凭据安全轮换。
解决方案说明如下：
1. 管理员通过凭据管理控制台或API接口新增凭据版本，更新目标凭据内容。
2. 应用节点通过调用API/SDK 获取最新凭据版本，或指定版本状态的凭据，实现全量或灰度的凭据轮换。
3. 定期重复[1]和[2]实现凭据定期轮转。
4. 加密密钥开启密钥轮换，提高存储安全性。
 
#### 凭据版本管理
为凭据存入凭据值即创建一个新的凭据版本，用于加密保管新的凭据值。默认情况下，新创建的凭据版本被标记为"SYSCURRENT"状态，而"SYSCURRENT"标记的前一个凭据版本被标记为"SYSPREVIOUS"状态。详见[管理凭据版本](https://support.huaweicloud.com/usermanual-dew/dew_01_8882.html)。
#### 凭据标签管理
标签用于标识凭据。[为凭据添加标签](https://support.huaweicloud.com/usermanual-dew/dew_01_8886.html)，可以方便用户对凭据进行分类和跟踪，并按标签汇总凭据的使用情况。
#### 凭据事件通知
用户为凭据对象订阅[关联事件](https://support.huaweicloud.com/usermanual-dew/dew_01_2006.html)后，当事件为启用状态且基础事件类型在凭据对象上触发时，通过消息通知服务（SMN）对应事件通知会发送至事件指定的通知主题上，或者通过EG（事件网格）服务中创建的云服务事件订阅来通知云服务。基础事件类型包括：凭据新版本创建，凭据版本过期，凭据删除，凭据轮转。配置事件通知后，用户可以通过函数工作流服务(FunctionGraph)中基于事件驱动的托管函数来自动化轮转凭据。
解决方案说明如下：
1.管理员通过凭据管理服务的事件通知控制台或者调用API接口新增事件。
2.创建或更新凭据时，关联订阅所需的事件对象。
3.用户在凭据状态发生改变时收到事件通知消息，并可在函数工作流服务(FunctionGraph)中配置函数，来实现凭据自动更新或轮转等功能。