Secrets und Konfiguration in der Cloud verwalten

Ein in ein Image eingebettetes Datenbankpasswort ist für jede Person sichtbar, die es abruft. Injizieren Sie Secrets stattdessen zur Laufzeit, niemals beim Erstellen des Images. 🔐

Normale Einstellungen wie ein Modellpfad sind Konfiguration. Sensible Werte wie API-Schlüssel sind Secrets. Beide bleiben außerhalb des Images, werden aber unterschiedlich behandelt.

Nicht sensible Einstellungen werden zum Deployment-Zeitpunkt als Umgebungsvariablen übergeben. Dasselbe Image kann sich dadurch in Staging und Produktion unterschiedlich verhalten.

Ihre Anwendung liest diese Werte mit os.environ aus. Geben Sie einen sinnvollen Standardwert an, damit der Code lokal auch ohne gesetzte Variablen ausgeführt werden kann.

Echte Secrets gehören in einen Secret Manager wie AWS Secrets Manager oder Google Secret Manager. Er verschlüsselt Secrets, verwaltet ihre Versionen und protokolliert Zugriffe.

Sie binden ein Secret über eine Referenz ein, und die Plattform stellt den Wert zur Laufzeit bereit. Das Secret erscheint niemals in Ihrem Deployment-Befehl.

Ein Secret kann als Umgebungsvariable oder als eingebundene Datei bereitgestellt werden. Zertifikate und lange Schlüssel lassen sich oft übersichtlicher über einen Dateipfad auslesen.

Geben Sie dem Servicekonto nur Zugriff auf die Secrets, die es tatsächlich benötigt. Dieses Prinzip der geringsten Berechtigung begrenzt den Schaden, falls ein Token jemals nach außen gelangt.

Fixieren Sie Secrets auf eine Version wie latest und rotieren Sie sie anschließend, indem Sie eine neue Version hinzufügen. Neue Instanzen übernehmen sie, ohne dass das Image neu erstellt werden muss.

Logs werden gespeichert und sind weithin lesbar. Ein ausgegebener Schlüssel ist daher praktisch öffentlich. Entfernen Sie Secrets sowohl aus der Ausgabe als auch aus Fehlerprotokollen.

Wenn Konfiguration und Secrets extern verwaltet werden, läuft ein einziges Image überall. Sie ändern das Verhalten, indem Sie Variablen austauschen, nicht indem Sie das Image neu erstellen.

Sie haben Konfiguration und Secrets getrennt, beide zur Laufzeit injiziert, einen Secret Manager verwendet und Secrets sicher rotiert. Ein einziges Image läuft nun überall. 🔑