Выдача секрета скрипту
Подключите скрипт к BearPass через API или CLI. Скрипт получит только те записи, которые доступны пользователю, от имени которого он работает.
BearPass для DevOps
Храните и получайте секреты в своём контуре
Соберите пароли и токены инфраструктуры на сервере компании. Скрипты и пайплайны получают нужные записи через API или CLI, а команда управляет правами и проверяет обращения в журнале.
Свой сервер · API и CLI в платных тарифах · Реестр российского ПО № 15427
Секрет попадает в скрипт по запросу
- 1
Секрет в BearPass
Рабочие учётные данные хранятся в папках и пространствах на вашем сервере.
- 2
Аутентификация и проверка прав
API-ключ или JWT от доверенного OIDC-провайдера.
- 3
Получение через API или CLI
Скрипт запрашивает нужную запись и передаёт данные в вашу задачу.
Ваша команда подключает CI/CD через документированные API и CLI. Готовые интеграции с пайплайнами в продукт не входят.
Одно хранилище для команды и её скриптов
Сценарии для инженеров и скриптов
Пароли для инженеров и команд
Храните учётные записи инфраструктуры по проектам и отделам. Выдавайте доступ инженерам и группам, а для временных задач ограничивайте его датой.
История доступа к секретам
Проверяйте, кто открывал пароль или менял права. События можно передавать через syslog в вашу систему сбора логов после настройки сервера.
API-ключ или JWT
Выберите способ входа для своей автоматизации
Используйте API-ключ BearPass или JWT, который выпускает ваша OIDC-система. После проверки BearPass выдаёт токен доступа. Скрипт работает с правами привязанного пользователя.
API-ключ
Для скрипта с постоянным ключом
Пользователь с правом «Использование API» создаёт ключ в интерфейсе BearPass. Ключ показывается однократно: сохраните его в защищённом месте.
Для получения токена авторизации используется:
POST /api/auth/login-by-api-key
JWT от OIDC-провайдера
Для инфраструктуры с OIDC
Используйте JWT от своего OIDC-провайдера для входа в BearPass. Администратор указывает Issuer, JWKS URL и Audience, а пользователь связывает учётную запись с Subject — значением sub токена.
JWT обменивается на токен авторизации через:
POST /api/auth/login-by-jwt
Полученный токен передавайте в заголовке Authorization: Bearer <token>. Точные параметры запросов и методы получения записей описаны в API-документации вашего экземпляра — ссылка находится в разделе «API».
JWT-аутентификация API и CLI доступна с версии 2.25.0.
Какой способ подключения подойдёт вашей команде?
Выберите API-ключ или JWT и проверьте получение тестовой записи с нужными правами.
CLI из терминала
Проверьте получение записи из терминала
CLI позволяет запрашивать записи BearPass из терминала или скрипта. Доступны версии для amd64 и arm64. При настройке укажите сервер и способ входа — API-ключ или JWT от своей OIDC-системы.
Для первой проверки запросите название тестовой записи, как в примере. Когда перейдёте к полю password, передавайте полученный секрет прямо в нужную программу и исключите его вывод в лог пайплайна.
Настройка и проверка доступа
Без вывода пароля./bearpass config
./bearpass get 123 --field=nameЗамените 123 на ID своей тестовой записи. CLI работает с правами настроенного пользователя. Данные конфигурации сохраняются в ~/.bearpass/config.
Для работы с защищёнными пространствами и персональным пространством нужен мастер-пароль; CLI расшифровывает эти данные на стороне клиента.
Спланируйте подключение под свою инфраструктуру
Доступно
BearPass хранит и выдаёт записи
Продукт включает хранилище на вашем сервере, папки и пространства, права пользователей и групп, журнал действий. API, CLI и JWT доступны в платных тарифах.
Нужна настройка
Команда подключает свои скрипты
Ваша команда настраивает провайдера и привязку пользователя, получение JWT и команды пайплайна. Передачу событий в SIEM можно организовать через syslog.
Границы продукта
Смена секретов — в вашем процессе
Готовых интеграций с GitLab CI, GitHub Actions, Kubernetes и Terraform нет. Автоматическая ротация и публичный образ CLI также не предусмотрены. Смену паролей во внешних системах команда выполняет отдельно.
Отзыв прав закрывает доступ к хранилищу BearPass. Уже полученный секрет остаётся известен его получателю — при необходимости смените его в целевой системе.
Пилот на вашем сценарии
Проверьте BearPass на одной задаче автоматизации
Выберите скрипт, которому нужны данные из BearPass. Проверьте вход, получение тестовой записи и журнал. Оцените, как подключить хранилище к своему процессу.
API и CLI доступны в платных тарифах.
- 1
Выберите секрет и скрипт
Возьмите одну тестовую запись и скрипт или задачу пайплайна. Определите, какие данные нужны для её выполнения.
- 2
Настройте способ входа
Выберите API-ключ или JWT от вашей OIDC-системы. Проверьте привязку к пользователю и выдайте доступ к нужной записи.
- 3
Проверьте результат
Запросите тестовую запись, проверьте права и события в журнале. Сохраните настройки для своего сценария.
Частые вопросы
Какие возможности для работы с секретами доступны в BearPass?
В BearPass можно хранить секреты на своём сервере, распределять доступ к папкам и записям, получать данные через API и CLI и проверять действия в журнале. API и CLI доступны только в платных тарифах. JWT-аутентификация API и CLI поддерживается с версии 2.25.0.
Как получить секрет через API?
Сначала получите токен авторизации BearPass: по API-ключу через POST /api/auth/login-by-api-key либо по JWT внешнего OIDC-провайдера через POST /api/auth/login-by-jwt. Затем передавайте токен в заголовке Authorization: Bearer. Параметры запросов и методы получения записей смотрите в API-документации своего экземпляра — ссылка находится в разделе «API». Действуют права пользователя, от имени которого выполняется запрос.
Что нужно настроить для JWT-аутентификации?
Администратор добавляет доверенного провайдера с Issuer, JWKS URL и Audience. Пользователь с правом «Использование API» создаёт привязку к Subject — значению sub токена. JWT выпускается вашей OIDC-системой и обменивается на токен доступа BearPass. Настройка получения JWT в CI и команд пайплайна выполняется вашей командой.
Есть ли готовые интеграции с CI/CD и контейнерный образ CLI?
Готовых интеграций с GitLab CI, GitHub Actions, Kubernetes и Terraform, а также публичного контейнерного образа CLI нет. Подключение строится через документированные API, CLI и JWT. Официальный CLI доступен для скачивания в вариантах amd64 и arm64.
Меняет ли BearPass пароли во внешних системах автоматически?
Автоматической ротации секретов нет. Отзыв прав или блокировка пользователя закрывает доступ к хранилищу BearPass, но не меняет пароль на сервере или в сервисе. Смену уже полученного секрета нужно выполнять в целевой системе по процессу вашей команды.
Можно ли отправлять события в SIEM?
Да. Журнал фиксирует просмотр и копирование паролей, изменения прав, авторизации и другие действия. События можно направлять в syslog для дальнейшего сбора вашей системой анализа логов. Это требует настройки на сервере BearPass.
Как проверить свой сценарий на пилоте?
Выберите тестовый секрет и один скрипт или job. На пилоте можно проверить способ аутентификации, права пользователя, получение записи и журнал действий. До начала работ согласуйте объём и критерии проверки внутри вашей команды.
Подробнее о продукте
На странице описана коробочная редакция BearPass. API и CLI доступны в платных тарифах.