Aegis
Aegis es una API broker de secretos sin vendor que actúa como proxy entre aplicaciones y sus infraestructuras de gestión de secretos (CyberArk, HashiCorp Vault, AWS Secrets Manager, Conjur). Permite escalar a 100+ equipos con un solo equipo de seguridad.
Ficha actualizada 22 sept 2026, 18:36 · upstream 22 sept 2026, 18:34 · release v0.3.0
Qué es Aegis
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
<p>Aegis es una thin API proxy auditado que se sitúa entre las aplicaciones y la infraestructura de gestión de secretos. Los equipos autentican mediante claves API escalonadas (una por par clave-registry) y reciben únicamente los secretos autorizados, sin importar dónde estén alojados.</p><p>La arquitectura centraliza el acceso a múltiples proveedores de secretos en un único punto de entrada. Cada petición es registrada con identidad de equipo, registro de origen, IP y número de cambio.</p><p>Los equipos gestionan sus propios webhook subscriptions, rotaciones de claves y notificaciones sin intervención del equipo de seguridad. El modelo de autenticación permite escalar a cientos de equipos con un solo equipo de seguridad.</p>
- Gestionar secretos de forma centralizada para múltiples aplicaciones que hablan con diferentes proveedores (CyberArk, Vault, AWS SSM, Conjur)
- Escalabilidad horizontal: soporta 100+ equipos y 40.000+ secretos sin necesidad de reestructurar la infraestructura
- Rotación automática de claves mediante webhook auto-generado para pipelines CI/CD sin intervención manual
- Auditoría completa: cada fetch, rotación o configuración se registra con attribution a equipo y registro
- Gestión de políticas de acceso por equipos: diferentes equipos pueden acceder a los mismos registries usando claves distintas
- Notificaciones en tiempo real vía Slack, Teams o Discord para alertas de rotaciones o cambios críticos
- Es un broker sin vendor-agnostic que resuelve secretos desde cualquier proveedor (CyberArk, Vault, AWS, Conjur)
- Modelo de autenticación escalonada: cada equipo tiene su propia clave API única por par clave-registry
- Rotación automática vía webhook para pipelines CI/CD con auto-generación de URLs sin intervención humana
- Auditoría completa con registro de team, registry, objetos solicitados, IP y número de cambio
- Modelo de equipo self-service: los equipos configuran sus own webhooks y notificaciones sin depender del equipo de seguridad
- API key escalonada por equipo-registry: si una clave se compromete, solo esa asignación debe rotarse
- La API requiere que las aplicaciones presenten X-API-Key y X-Change-Number en cada petición para autenticación
- No incluye un panel de administración completo; el equipo de seguridad gestiona políticas y no los equipos
- Depende de la disponibilidad del backend Aegis (FastAPI) para que los webhook de rotación funcionen
- El modelo de escalamiento se basa en múltiples equipos con diferentes claves, lo cual puede complicar la gestión de permisos
- No incluye un panel de administración completo; el equipo de seguridad gestiona políticas y no los equipos
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar Aegis requiere un entorno Kubernetes con Podman para Docker. Se recomienda usar Helm charts para despliegue. Para producción, se debe configurar un backend FastAPI en producción (no el desarrollo local). El webhook de rotación es auto-generado por el pipeline CI/CD y no requiere intervención manual. Se recomienda mantener al menos 2 replicas del backend para alta disponibilidad.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.