Wczesny dostępZespoły, maszyny i CI
Udostępniaj sekrety zespołowi, nie serwerowi.
Jeden sejf na pliki .env, klucze API i dane dostępowe do chmury twojego zespołu. Wartości są szyfrowane na twoich urządzeniach, a serwer przechowuje tylko zaszyfrowane dane.
Zobacz, jak to działaJeden sejf na wszystkie środowiska
Projekty zawierają środowiska, a każde środowisko ma własny klucz. Ludzie, maszyny i potoki CI dostają tylko te środowiska, do których przyznano im dostęp.
api-prod-1 · linux/amd64crunu enroll --server https://app.crunu.com -
crunu run --env payments-api/production \
-- node server.js- Zarejestruj maszynę jednorazowym kodem. Kod traci ważność przy pierwszym użyciu, a druga próba wywołuje alert.
- Zatwierdź maszynę po porównaniu odcisku klucza, który wypisuje
crunu enroll. - Agent trzyma odszyfrowane środowiska w pamięci i przekazuje je twojemu procesowi.
Konfiguracja w trzech krokach
Zacznij na app.crunu.com od plików .env, które twój zespół już ma. Ludziom wystarczy przeglądarka, a agent jest dla maszyn i CI.
1Utwórz sejf
Utwórz projekt i przeciągnij do niego pliki .env albo całe foldery, takie jak .aws. Crunu odczyta zmienne i podpowie, gdzie powinien leżeć każdy plik.
2Zaproś zespół
Wyślij link z zaproszeniem i przed przyznaniem dostępu porównaj odcisk klucza z każdym nowym członkiem zespołu. Role ustawiasz osobno dla każdego środowiska.
3Uruchom przez crunu run
Zarejestruj maszynę jednorazowym kodem, zatwierdź ją po sprawdzeniu odcisku klucza i uruchom aplikację poleceniem crunu run.
Ludzie, maszyny i CI – jedno źródło
Zespół otwiera środowiska w przeglądarce. Maszyny i zadania CI dostają je przez agenta Crunu. Obie strony odszyfrowują te same dane z użyciem tej samej kryptografii, więc nikt nie przesyła sobie plików .env.
Każda maszyna ma własne klucze
Klucz z jednej maszyny nie otworzy niczego na innej. Gdy odbierzesz maszynie dostęp, klucze środowisk, które miała, zostaną wymienione.
CI powiązane z repozytorium
Powiąż token usługowy przez OIDC z jednym repozytorium i gałęzią. Sam wyciekły token zostanie odrzucony.
Działa mimo awarii
Gdy sieć przestanie działać, agent wydaje ostatni zweryfikowany stan do końca dzierżawy, która domyślnie trwa 24 godziny.
Ktoś odchodzi. Każdy klucz, który miał, zostaje wymieniony.
Usunięcie członka zespołu to jeden proces krok po kroku. Serwer przestaje wydawać tej osobie dane w chwili jej usunięcia.
Zobacz, co otrzymała ta osoba
Raport ekspozycji pokazuje, które wersje których środowisk ta osoba pobrała, kiedy i z jakiego adresu.
Wymień klucze tej osoby
Crunu wymienia klucz każdego środowiska, do którego ta osoba miała dostęp, i unieważnia to, z czego mogłaby jeszcze skorzystać: tokeny usługowe, linki dostępu, zaproszenia i kody rejestracji.
Wygeneruj ponownie u dostawcy
Lista kontrolna wskazuje każdą wartość do ponownego wygenerowania u jej dostawcy, nie pokazując samych wartości.
Widzianych wartości nie cofniesz
Rotacja chroni każdą nową wersję. Wartości, które ta osoba już widziała, pozostają ważne, dopóki nie wygenerujesz ich ponownie – właśnie do tego służy lista kontrolna.
Co chroni nawet po przejęciu serwera
Każda gwarancja wskazuje mechanizm, na którym się opiera, więc nie zależy od zaufania do tego, kto prowadzi serwer.
Skradziona baza danych nie ujawnia wartości
Klucz twojego konta powstaje z hasła i Secret Key, który nigdy nie trafia na serwer, więc pełna kopia bazy danych nie pomoże w odgadnięciu hasła.
Serwer nie przyzna sobie dostępu
To, kto może odczytać środowisko, określa dokument podpisany przez administratora, a każdą wersję podpisuje jej autor. Przeglądarki i agenci sprawdzają oba podpisy.
Zmiany w dzienniku audytu widać
Wpisy tworzą łańcuch skrótów, więc po edycji, usunięciu lub wstawieniu wpisu weryfikacja się nie powiedzie. Wyeksportuj dziennik do JSONL, by sprawdzić go poza Crunu.
Bezpłatnie we wczesnym dostępie
Dopóki Crunu jest we wczesnym dostępie, masz wszystkie funkcje. Oto obecne limity.
Rozmiar środowiska
Wszystkie pliki jednego środowiska łącznie.
1 MB
na środowisko
1 048 576 bajtów- .env, INI i płaski YAML pole po polu
- Każdy inny plik tekstowy w całości
Historia wersji
Każdy zapis to nowa wersja.
100wersji
na środowisko
do 64 MB historii- Autor i czas przy każdej wersji
- Stara wersja przywracana jako nowa
Wczesny dostępTeraz
Wszystkie funkcje w naszej chmurze na app.crunu.com.
Za darmo
Bez żadnych opłat
Załóż bezpłatne konto- Aplikacja w przeglądarce i agent Crunu
- Maszyny i tokeny usługowe CI
- Prośby o dostęp i offboarding
- Dziennik audytu i alerty
Projekty
Każdy projekt zawiera swoje środowiska.
500projektów
na organizację
w każdym do 50 środowisk- Każde środowisko ma własny klucz
- I własną listę dostępu
Lista dostępu
Kto może odczytać jedno środowisko.
5000wpisów
na środowisko
ludzie, maszyny, tokeny- Editor, Reader, Specific files
- Operator dla maszyn
Zanim przeniesiesz sekrety
Co zespoły zwykle sprawdzają, zanim przeniosą swoje pliki .env.
Masz inne pytanie? Napisz na support@crunu.com
Co widzi serwer?
Jeden zaszyfrowany rekord na każdą wersję każdego środowiska, do tego klucze publiczne i podpisane dokumenty. Widzi też metadane: nazwy organizacji, projektów, środowisk i maszyn, adresy e-mail członków, dziennik audytu oraz rozmiar i czas każdej wersji. Nazwy i wartości zmiennych istnieją tylko w zaszyfrowanych danych, a twoje hasło i Secret Key w ogóle nie są wysyłane.
Co, jeśli zapomnę hasła albo zgubię Secret Key?
Resetu hasła nie ma, bo serwer nie jest w stanie go wykonać. Kod odzyskiwania otwiera konto po okresie oczekiwania, domyślnie po godzinie; właściciel konta dostaje powiadomienie, a zwykłe zalogowanie przerywa tę próbę. Administrator może też przenieść twoje osobiste środowiska na nowe konto. Emergency Kit, który drukujesz przy rejestracji, przechowuj w bezpiecznym miejscu.
Ile kosztuje Crunu?
Crunu jest bezpłatne we wczesnym dostępie, ze wszystkimi funkcjami. Obecne limity: 1 MB na środowisko, 100 ostatnich wersji historii do 64 MB, 500 projektów na organizację, 50 środowisk na projekt i 5000 wpisów na liście dostępu środowiska.
Czy mogę uruchomić serwer u siebie?
Tak. Działa w Dockerze na twojej własnej maszynie, na Cloudflare Workers, Vercel, Google Cloud Run lub AWS App Runner, choć AWS zamknął App Runner dla nowych klientów. Serwer we własnym hostingu przenosi się między platformami jednym archiwum, które nie zawiera wartości w postaci jawnej. Na Cloudflare zespół potrzebuje planu Workers Paid.
Z jakimi systemami CI to działa?
Z GitHub Actions, GitLab CI i Bitbucket Pipelines, z powiązaniem OIDC z repozytorium, gałęzią i środowiskiem wdrożenia. Każdy inny wystawca OIDC działa przez uniwersalnego dostawcę. System CI bez OIDC może użyć tokenu usługowego zapisanego w swoich sekretach razem z crunu run.
Jakie systemy operacyjne obsługuje agent?
Linux i macOS, na amd64 i arm64. Na Linuksie agent może działać jako usługa systemd, która trzyma środowiska w pamięci. Na macOS działa z wiersza poleceń, dla ludzi i tokenów usługowych. Windows nie jest obsługiwany. Aplikacja webowa wymaga przeglądarki Chrome 113, Safari 17, Firefox 129 lub nowszej.
Czy mogę przenieść sekrety z innego narzędzia?
Przeciągnij pliki .env, pliki INI, takie jak ~/.aws/credentials, płaski YAML lub dowolny plik tekstowy, także całe foldery, takie jak .aws, do 300 plików naraz. Crunu odczyta zmienne i podpowie, gdzie każdy plik leży na dysku. Bezpośredniego importu z 1Password, HashiCorp Vault, Doppler ani Infisical nie ma.
Czy odebranie dostępu maszynie działa od razu?
Serwer od razu przestaje wydawać jej dane, a klucze środowisk, które miała, zostają wymienione. Agent usuwa swoją kopię w ciągu kilku minut, jeśli maszyna jest online, bo domyślnie łączy się z serwerem co minutę. Maszyna offline traci dostęp po zakończeniu dzierżawy, domyślnie po 24 godzinach. Proces, który już działa, zachowuje swoje zmienne do ponownego uruchomienia.
Zabierz pliki .env z czatu
Załóż konto na app.crunu.com: potwierdź adres e-mail, ustaw hasło i zapisz Emergency Kit ze swoim Secret Key.