Upravljanje infrastrukturnim tajnama bez kompleksnosti

Upravljanje tajnama može započeti jednostavnim pravilom: vjerodajnice, tokeni, privatni ključevi i spojni nizovi ne pripadaju Gitu, slikama spremnika, chatu ili povijesti naredbenog retka. Zadržite redigirani primjer u repozitoriju, ubacite stvarnu vrijednost tijekom izvođenja i omogućite skeniranje tajni ili zaštitu pri slanju (push protection). Ako tajna dospije u repozitorij, tretirajte je kao kompromitiranu: opozovite je ili rotirajte, a zatim istražite gdje je kopirana.

Praktična polazna točka je jedna trgovina tajnama po okruženju, usko definirani identiteti i imenovani vlasnik za svaku važnu vjerodajnicu. Aplikacijama dodijelite samo putanje i operacije koje su im potrebne. Rotaciju treba testirati kao uobičajenu operaciju implementacije, a ne odgađati je do incidenta. Započnite s malim inventarom — lozinke baza podataka, ključevi oblaka, CI tokeni i TLS materijal — i zabilježite kako se svaka stavka izdaje, koristi, rotira i opoziva.

Vault postaje koristan kada zajedničke vjerodajnice, dinamički pristup bazi podataka, zakupi (leases) ili centralizirana politika opravdavaju još jedan servis. Vault politike temelje se na putanjama i zadano odbijaju pristup; njegov mehanizam za tajne baza podataka može izdati kratkotrajne vjerodajnice umjesto onih koje su “tvrdo kodirane”. Ta snaga donosi dodatni posao: autentifikacija, dostupnost, sigurnosne kopije, nadogradnje i oporavak trebaju vlasnike. Za mali stog, upravljani upravitelj tajni ili CI trgovina tajnama može biti mirnije rješenje.

GitOps ne znači commitanje čistog teksta. Zadržite deklarativnu konfiguraciju u Gitu dok korak implementacije dobavlja tajne izvana. Kubernetes tajne i dalje trebaju enkripciju u mirovanju i RBAC s najmanjim privilegijama; base64 nije enkripcija.

Izvori: HashiCorp Vault policies, Vault database secrets engine, Kubernetes Secrets guidance, i GitLab secret-management practices.