如何做好DevOps Secrets管理

1. 什么是DeveOpsSecrets？

DevOps Secrets是DevOps服务和应用程序中使用的身份验证凭证，包括API令牌、加密密钥、用户名、密码和安全外壳(SSH)密钥。

2. DevOps Secrets存在哪些风险？

DevOps 团队每天都需要按需访问生产构建、源代码、测试服务器和其他工具。开发人员往往喜欢采用共享secrets来实现这种即时访问以提升工作效率。

另一方面，应用程序通常需要互相访问，开发人员将secrets硬编码到应用程序或配置文件中可以加快访问速度。这些短暂的secrets是由DevOps团队使用的各种容器、数据中心、云和机器创建的。这些secrets可以具有特权访问权限，从而极大地扩大了网络攻击者寻找入侵途径的攻击面。

试想一下，如果这段代码被发布在GitHub等公共网站上时会发生什么？这意味着任何人都可以轻松访问这些凭据并攻击企业。

3. 如何改善 DevOps Secrets管理？

使用集中式保险库Vault的secrets管理可以有效管理DevOps Secrets并防止其泄露。

DevOps的集中式保险库使用API调用将硬编码凭证、不同的保险库和密码替换到存储、加密、访问控制和审计实施的集中位置。避免开发人员在代码和配置文件中硬编码机密，同时提供统一、集中、可审计的管理和secrets访问执行。

此外，为了提高DevOps的速度，集中式保险库需要具有自动化功能，即确保在发出请求时自动生成动态secrets。动态secrets是有时间限制的，并且会自动过期，这意味着即便在GitHub或其他地方找到了这些secrets，也会因为这些secrets过期而失效。动态secrets还可以通过云策略启用细粒度的授权。

这种特定的限时授权策略大大降低了企业因机密泄露而遭受攻击的风险，同时也为DevOps团队消除了AWS，Azure，GCP等云平台上的DevSecOps的负担。

4. 在选择DevOps Secrets管理解决方案中应该注意什么？

DevOps中的最高安全优先级是将secrets与源代码分开。在为DevOps寻找secrets管理解决方案时，需要密切关注该解决方案如何存储和处理机密，确保远离基于IP的静态解决方案。因为这些静态解决方案无法在应用程序和机器不断变化的环境中扩展。

接下来，验证该解决方案是否与您现有的DevOps工具（例如Jenkins 和 Kubernetes）集成。检查这些标准的 DevOps secrets管理解决方案将有助于防御安全漏洞，同时使DevOps团队能够专注于生产力。针对DevOps操作优化的集中式保险库是secrets管理的最佳解决方案。