如何做好DevOps Secrets管理

1. 什么是DeveOps Secrets？

DevOps Secrets是DevOps服务和应用程序中使用的身份验证凭证，包括API令牌、加密密钥、用户名、密码和安全外壳 (SSH)密钥。

2. DevOps Secrets存在哪些风险？

DevOps 团队每天都需要按需访问生产构建、源代码、测试服务器和其他工具。开发人员往往喜欢采用共享secrets来实现这种即时访问以提升工作效率。

另一方面，应用程序通常需要互相访问，开发人员将secrets硬编码到应用程序或配置文件中可以加快访问速度。这些短暂的secrets是由DevOps团队使用的各种容器、数据中心、云和机器创建的。这些secrets可以具有特权访问权限，从而极大地扩大了网络攻击者寻找入侵途径的攻击面。

试想一下，如果这段代码被发布在GitHub等公共网站上时会发生什么？这意味着任何人都可以轻松访问这些凭据并攻击企业。

3. 如何改善 DevOps Secrets管理？

使用集中式保险库Vault的secrets管理可以有效管理DevOps Secrets并防止其泄露。

DevOps的集中式保险库使用API调用将硬编码凭证、不同的保险库和密码替换到存储、加密、访问控制和审计实施的集中位置。避免开发人员在代码和配置文件中硬编码机密，同时提供统一、集中、可审计的管理和secrets访问执行。

此外，为了提高DevOps的速度，集中式保险库需要具有自动化功能，即确保在发出请求时自动生成动态secrets。动态secrets是有时间限制的，并且会自动过期，这意味着即便在GitHub或其他地方找到了这些secrets，也会因为这些secrets过期