---
title: "Pilvipohjainen salaisuuksien hallinta ja palvelun valinta"
url: https://uselinkpilot.com/fi/blog/cloud-secret-manager
description: "Mitä salaisuuksien hallintapalvelu suojaa, miten valita AWS:n, Googlen, Azuren ja Vaultin välillä, käyttöönotto ja mitä se ei hoida: luovutus ihmiselle."
lang: fi
---

Tietoturva (https://uselinkpilot.com/fi/blog/category/security)

# Pilvipohjainen salaisuuksien hallintapalvelu: mikä se on, miten se valitaan ja mitä se ei kata

Mitä salaisuuksien hallintapalvelu suojaa, miten valita AWS:n, Googlen, Azuren ja Vaultin välillä, käyttöönotto ja mitä se ei hoida: luovutus ihmiselle.

LinkPilot Team (https://uselinkpilot.com/fi/author/linkpilot-team) · Ihmiset, jotka rakentavat ja ylläpitävät LinkPilotia TetraCore, LLC -yhtiössä 26. lokakuuta 2026 · Tietoa LinkPilotista (https://uselinkpilot.com/fi/about)

Jokainen tiimi päätyy lopulta tilanteeseen, jossa kirjautumistietoja on liian monessa paikassa: `.env`-tiedosto jokaisella kannettavalla, kiinnitetty viesti Slackissa, taulukko nimeltä ”tunnukset” ja CI-muuttuja, jonka joku asetti kaksi vuotta sitten. Pilvipohjainen salaisuuksien hallintapalvelu on olemassa, jotta kaikki tämä saadaan yhteen paikkaan, joka on salattu, jonka käyttöoikeudet on rajattu ja jonka jokainen käyttökerta kirjataan.

Tässä oppaassa kerrotaan, mitä pilvipohjainen salaisuuksien hallintapalvelu tekee, miten tärkeimpien vaihtoehtojen välillä valitaan, miten sen saa käyttöön ilman pitkää siirtoprojektia ja mitä yhtä tehtävää se ei hoida: salaisuuden toimittamista ihmiselle, joka ei ole pilvitilisi sisällä.

## Mitä pilvipohjainen salaisuuksien hallintapalvelu tekee

Salaisuuksien hallintapalvelu tallentaa arkaluonteisia arvoja ja antaa ne pyynnöstä valtuutetuille identiteeteille. Ydinominaisuudet ovat samat kaikilla palveluntarjoajilla:

- **Salattu tallennus**: tallennettu tieto on salattu avaimilla, joita säilytetään palveluntarjoajan avaintenhallintapalvelussa, ja siirrossa käytetään TLS:ää.
- **Identiteettiin perustuva käyttöoikeus**: jokaisella salaisuudella on käytäntö, joka määrää, mitkä käyttäjät, roolit tai työkuormat saavat lukea, kirjoittaa tai kierrättää sitä. Sovellus tunnistautuu omalla identiteetillään, ei pääsalasanalla.
- **Tarkastusloki** jokaisesta lukemisesta, kirjoittamisesta ja kierrätyksestä: kuka, mitä ja milloin.
- **Versiointi ja kierrätys**: uuden arvon voi valmistella, sovellukset siirtää käyttämään sitä ja vanhan version poistaa käytöstä. Monet palvelut vaihtavat tietokantojen tunnukset automaattisesti.
- **Haku ajonaikaisesti**: sovellus hakee salaisuuden käynnistyessään tai tarvitessaan, joten arvoa ei koskaan kirjoiteta koodiin, levykuviin tai asetustiedostoihin.

Salaisuus on mikä tahansa, mikä antaa pääsyn johonkin. Asetukset, jotka vain kuvaavat toimintaa, kuten porttinumero tai ominaisuuslippu, kuuluvat tavallisiin asetuksiin. Jos nämä sekoitetaan, salaisuusvarastoon kertyy turhaa tavaraa ja asetuksista tulee vaarallisia.

## Näin valitset palvelun

Valinta riippuu yleensä siitä, missä työkuormat ajetaan ja kuinka monta pilveä on käytössä.

| Vaihtoehto | Sopii parhaiten | Huomioitavaa |
| --- | --- | --- |
| AWS Secrets Manager / Parameter Store | Työkuormat ovat jo AWS:ssä, IAM-identiteetit kaikkialla | Secrets Managerissa hinta salaisuutta kohden; Parameter Store on edullisempi tavallisille arvoille |
| Google Secret Manager | GCP-projektit, Cloud Run- ja GKE-työkuormat | Alueellisen replikoinnin valinnat |
| Azure Key Vault | Azure-työkuormat, varmenteiden elinkaaren hallinta | Erilliset holvit kullekin ympäristölle, jotta käytännöt pysyvät yksinkertaisina |
| HashiCorp Vault | Useampi pilvi tai oma konesali, dynaamiset lyhytikäiset tunnukset | Ylläpito jää sinulle, ellet käytä palveluna tarjottavaa versiota |
| Doppler, Infisical, 1Password Secrets Automation | Pienet tiimit, jotka haluavat kehittäjäystävällisen synkronoinnin moneen alustaan | Yksi palveluntarjoaja lisää luottamusketjussa |

Neljä kysymystä ratkaisee useimmat valinnat. Toimiiko palvelu käyttöönottotyökalujen ja ajoympäristön kanssa ilman itse tehtyä liimakoodia? Voivatko työkuormat tunnistautua siihen sillä identiteetillä, joka niillä jo on? Kierrättääkö se niitä tunnustyyppejä, joita sinulla oikeasti on? Ja päätyvätkö sen tarkastuslokit sinne, mihin tietoturvatiimi jo katsoo? Hinnat, alueet ja vaatimustenmukaisuuden sertifioinnit tulevat vasta näiden neljän jälkeen.

## Käyttöönotto ilman kuuden kuukauden projektia

1. **Inventoi ja nimeä omistajat.** Listaa jokainen salaisuus, missä se on, mikä sitä käyttää ja kuka siitä vastaa. Omistaja päättää kierrätyskäytännöstä ja käyttöoikeuksista.
2. **Määritä identiteetit ensin.** Luo roolit tai palvelutilit jokaiselle työkuormalle ja ympäristölle ennen kuin siirrät yhtäkään arvoa. Koko idea on käyttöoikeuskäytännöissä, jotka sanovat ”tämä palvelu, tämä ympäristö, vain luku”.
3. **Siirrä riskijärjestyksessä.** Ensin tuotannon tietokantasalasanat ja maksuavaimet, sitten kolmansien osapuolten API-avaimet ja sitten kaikki muu. Poista jokainen arvo koodista, CI-muuttujista ja asetustiedostoista sitä mukaa kuin se siirtyy, ja vaihda se siirron yhteydessä, koska vanhaa arvoa on jo kopioitu sinne tänne.
4. **Muuta tapa, jolla sovellukset lukevat salaisuudet.** Korvaa koodiin kirjoitetut arvot ja ympäristötiedostot kutsulla palvelun SDK:hon käynnistyksen yhteydessä, tai syötä arvot alustan omalla integraatiolla.
5. **Ota kierrätys käyttöön** kaikelle, mitä palvelu osaa kierrättää itse, ja kirjoita muille kierrätysfunktio tai toimintaohje.
6. **Hälytä poikkeavasta.** Salaisuuden lukeminen uudella identiteetillä, lukukertojen äkillinen kasvu tai luku alueelta, jolle et tee käyttöönottoja, ansaitsee hälytyksen päivystäjälle.

Tavalliset virheet ovat ennustettavia: vanhat kopiot jätetään paikalleen siirron jälkeen, työkuormalle annetaan lukuoikeus koko varastoon eikä vain sen omiin salaisuuksiin, ja haettu arvo kirjataan sovelluksen lokeihin.

## Aukko, jota salaisuuksien hallintapalvelu ei täytä

Salaisuuksien hallintapalvelu on tehty koneille ja ihmisille, jotka ovat identiteettijärjestelmäsi sisällä. Sitä ei ole tehty hetkeen, jolloin tunnukset on saatava jollekulle sen ulkopuolelle: alihankkijalle, joka tarvitsee väliaikaisen tietokantasalasanan, asiakkaalle, joka saa ensimmäiset pääkäyttäjän tunnuksensa, palveluntarjoajan insinöörille, joka tarvitsee tunnisteen iltapäiväksi, tai uudelle työntekijälle ensimmäisenä päivänä ennen kuin hänen SSO-tilinsä on olemassa.

Nämä luovutukset tapahtuvat joka tapauksessa, ja ilman hyväksyttyä reittiä ne tapahtuvat sähköpostissa ja keskusteluissa, joista salaisuuksien hallintapalvelujen piti saada tunnukset pois. Hyväksytty reitti on kertakäyttöinen salainen linkki (https://uselinkpilot.com/fi/tools/free-secret-link-generator). Arvo salataan selaimessasi ennen tallennusta, viestissä kulkee vain linkki, tallennettu kopio tuhotaan, kun linkki avataan ensimmäisen kerran, ja linkki vanhenee ajastimen mukaan, jos kukaan ei avaa sitä.

Toimiva malli: salaisuuksien hallintapalvelu on virallinen tietolähde, ja kertakäyttölinkki on toimitustapa silloin, kun järjestelmän ulkopuolinen ihminen tarvitsee arvon kerran. Luo tunnukset, tallenna ne hallintapalveluun, lähetä ne henkilölle kertakäyttölinkillä ja vaihda ne, kun hänen käyttöoikeutensa päättyy. Salaiset linkit vai salasanojen hallintaohjelmat (https://uselinkpilot.com/fi/blog/secret-links-vs-password-managers) soveltaa samaa päättelyä tiimin salasanojen hallintaohjelmaan, ja opas tunnusten luovutuksesta tiimien välillä (https://uselinkpilot.com/fi/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams) käy läpi rutiinin.

## Lyhyt tarkistuslista

- Jokaisella salaisuudella on omistaja, käyttöoikeuskäytäntö ja kierrätyssääntö.
- Työkuormat tunnistautuvat omalla identiteetillään, eivät koskaan jaetulla avaimella.
- Siirron jälkeen salaisuuksia ei ole koodissa, levykuvissa, CI-muuttujissa eikä keskusteluissa.
- Lukukerrat kirjataan paikkaan, jota joku oikeasti seuraa.
- Identiteettijärjestelmän ulkopuoliset ihmiset saavat salaisuudet kertakäyttölinkillä, eivät viestissä.

Kun nämä viisi asiaa ovat kunnossa, salaisuuksien hallintapalvelu lakkaa olemasta pelkkä ostettu tuote. Siitä tulee syy siihen, että tunnukset lakkasivat vuotamasta.

## Lisälukemista

- API-avainten jakaminen turvallisesti: https://uselinkpilot.com/fi/blog/how-to-share-api-keys-securely
- Turvallinen linkkien jakaminen kehittäjille: https://uselinkpilot.com/fi/blog/secure-link-sharing-for-developers
- Turvallinen tapa luovuttaa tunnuksia tiimien välillä: https://uselinkpilot.com/fi/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams
- Salaiset linkit vai salasanojen hallintaohjelmat: https://uselinkpilot.com/fi/blog/secret-links-vs-password-managers

## Työkalut tähän artikkeliin

Kertakäyttöisen salaisen linkin luontityökalu

Jaa salasana tai muistiinpano linkillä, joka avautuu vain kerran.
https://uselinkpilot.com/fi/tools/free-secret-link-generator

Itsetuhoutuva viesti

Lähetä muistiinpano, joka katoaa, kun se on luettu kerran.
https://uselinkpilot.com/fi/tools/burn-after-read-secret

Vanhenevan linkin luontityökalu

Luo linkkejä, jotka lakkaavat toimimasta asettamanasi aikana.
https://uselinkpilot.com/fi/tools/temporary-link

## Usein kysytyt kysymykset

### Mikä on pilvipohjainen salaisuuksien hallintapalvelu?

### Mitä salaisuuksien hallintapalveluun kannattaa tallentaa?

### Miten sovellukset lukevat salaisuudet palvelusta?

### Kuinka usein salaisuudet pitäisi kierrättää?

### Salaavatko salaisuuksien hallintapalvelut tallennetut arvot?

### Mitä eroa on salaisuuksien säilyttämisellä ja jakamisella?

## LinkPilot lähettää salaisen linkin, joka katoaa, kun se on avattu.

Salataan selaimessasi, näytetään kerran ja tuhotaan sitten. Tiliä ei tarvita.

Luo salainen linkki (https://uselinkpilot.com/fi/tools/free-secret-link-generator)

## Lue seuraavaksi

Tietoturva

### AWS access key ja secret key: luonti, käyttö, kierrätys ja turvallinen jako

Mitä AWS:n avainpari on, miksi secret access key näkyy kerran, miten avaimet kierrätetään, mitä tehdä vuodon jälkeen ja miten avain jaetaan turvallisesti.
https://uselinkpilot.com/fi/blog/aws-access-key-and-secret-key

Tietoturva

### SSH-kirjautumistietojen jakaminen vanhenevalla linkillä

Pyydä mieluiten julkinen avain. Jos yksityinen avain tai salasana pitää siirtää, lähetä se vanhenevalla kertakäyttölinkillä ja palvelin ja tunnus erikseen.
https://uselinkpilot.com/fi/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Tietoturva

### Kirjautumistietojen turvallinen jakaminen ilman sähköpostia

Neljä tapaa jakaa salasana ilman sähköpostia, milloin mikin sopii, ja ohjeet ensimmäisellä avauksella tuhoutuvan linkin luomiseen kirjautumistiedoille.
https://uselinkpilot.com/fi/blog/how-to-share-credentials-securely-without-email

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Etusivu",
        "item": "https://uselinkpilot.com/fi"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blogi",
        "item": "https://uselinkpilot.com/fi/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Pilvipohjainen salaisuuksien hallintapalvelu ja sen valinta",
        "item": "https://uselinkpilot.com/fi/blog/cloud-secret-manager"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/fi/blog/cloud-secret-manager#article",
    "headline": "Pilvipohjainen salaisuuksien hallintapalvelu ja sen valinta",
    "description": "Mitä salaisuuksien hallintapalvelu suojaa, miten valita AWS:n, Googlen, Azuren ja Vaultin välillä, käyttöönotto ja mitä se ei hoida: luovutus ihmiselle.",
    "inLanguage": "fi",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/fi/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/fi/blog/cloud-secret-manager"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Mikä on pilvipohjainen salaisuuksien hallintapalvelu?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Hallinnoitu palvelu, joka tallentaa salattuina kirjautumistietoja, kuten API-avaimia, tietokantasalasanoja ja varmenteita, määrää, mitkä identiteetit saavat lukea kunkin niistä, kirjaa jokaisen käyttökerran ja voi kierrättää arvoja aikataulun mukaan. Sovellukset hakevat salaisuudet siitä ajonaikaisesti sen sijaan, että ne olisivat koodissa tai asetuksissa."
        }
      },
      {
        "@type": "Question",
        "name": "Mitä salaisuuksien hallintapalveluun kannattaa tallentaa?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Kaikki, mikä antaa pääsyn johonkin: salasanat, API-avaimet, tunnisteet, yksityiset avaimet, varmenteet ja yhteysmerkkijonot, joihin on upotettu tunnukset. Tavalliset asetukset, kuten lokitasot ja ominaisuusliput, kuuluvat asetuksiin, eivät salaisuusvarastoon."
        }
      },
      {
        "@type": "Question",
        "name": "Miten sovellukset lukevat salaisuudet palvelusta?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Palveluntarjoajan SDK:n tai CLI:n kautta, ja ne tunnistautuvat työkuorman omalla identiteetillä, esimerkiksi IAM-roolilla tai Kubernetes-palvelutilillä. Sovelluksella ei koskaan ole pitkäikäisiä tunnuksia salaisuusvarastoon pääsemiseksi."
        }
      },
      {
        "@type": "Question",
        "name": "Kuinka usein salaisuudet pitäisi kierrättää?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Aikataulun mukaan niiden pitkäikäisten arvojen osalta, joissa se on mahdollista, ja heti tapahtumien yhteydessä: kun joku lähtee, palveluntarjoaja vaihtuu tai on syytä epäillä, että arvo on paljastunut. Useimmat palvelut voivat vaihtaa tietokantasalasanat automaattisesti; kolmansien osapuolten API-avaimet vaativat yleensä kierrätysfunktion tai käsin tehtävän vaiheen."
        }
      },
      {
        "@type": "Question",
        "name": "Salaavatko salaisuuksien hallintapalvelut tallennetut arvot?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Kyllä. Tallennettu tieto on salattu avaimella, jota säilytetään palveluntarjoajan avaintenhallintapalvelussa, ja siirrossa käytetään TLS:ää. Pääsyä ohjaavat silti asettamasi käyttöoikeudet, joten salaus ei suojaa liian laajalta käytännöltä."
        }
      },
      {
        "@type": "Question",
        "name": "Mitä eroa on salaisuuksien säilyttämisellä ja jakamisella?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Säilytys tarkoittaa paikkaa, jossa salaisuus on, ja sitä, miten koneet ja valtuutetut ihmiset hakevat sen ajan mittaan. Jakaminen on hetki, jolloin arvo on saatava ihmiselle, joka ei ole siinä järjestelmässä: alihankkijalle, asiakkaalle tai uudelle työntekijälle. Salaisuuksien hallintapalvelu hoitaa ensimmäisen. Kertakäyttöinen salainen linkki hoitaa jälkimmäisen jättämättä kopiota viestiin."
        }
      }
    ],
    "inLanguage": "fi"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```