Håndtér hemmeligheder og konfiguration i skyen

En databaseadgangskode, der er indbygget i en afbildning, bliver afsløret for alle, der henter den. Indsæt i stedet hemmeligheder under kørsel, aldrig under bygning.

Almindelige indstillinger som en modelsti er konfiguration. Følsomme værdier som API-nøgler er hemmeligheder. Begge dele holdes uden for afbildningen, men håndteres forskelligt.

Ikke-følsomme indstillinger tilføjes som miljøvariabler under implementeringen. Den samme afbildning kan derefter opføre sig forskelligt i test- og produktionsmiljøet.

Din app læser disse værdier med os.environ. Angiv en fornuftig standardværdi, så koden stadig kan køre lokalt uden at alle variabler er sat.

Rigtige hemmeligheder hører hjemme i en hemmelighedshåndteringstjeneste som AWS Secrets Manager eller Google Secret Manager. Den krypterer, versionsstyrer og logger adgangen.

Du tilknytter en hemmelighed med en reference, og platformen monterer værdien under kørsel. Hemmeligheden vises aldrig i din implementeringskommando.

En hemmelighed kan indsættes som en miljøvariabel eller som en monteret fil. Certifikater og lange nøgler er ofte nemmere at læse fra en filsti.

Giv tjenestekontoen kun adgang til de hemmeligheder, den reelt har brug for. Denne regel om mindst mulige rettigheder begrænser skadeomfanget, hvis et token nogensinde bliver afsløret.

Fastlås hemmeligheder til en version som latest, og rotér dem derefter ved at tilføje en ny version. Nye instanser henter den automatisk, uden at afbildningen skal bygges igen.

Logge gemmes og kan læses af mange, så en udskrevet nøgle er i praksis offentlig. Fjern hemmeligheder fra output og fra fejlspor.

Når konfiguration og hemmeligheder ligger eksternt, kan den samme afbildning køre overalt. Du ændrer adfærden ved at udskifte variabler, ikke ved at bygge igen.

Du har adskilt konfiguration fra hemmeligheder, indsat begge dele under kørsel, brugt en hemmelighedshåndteringstjeneste og roteret dem sikkert. Den samme afbildning kan nu køre overalt. 🔑