DevOps बूटकैंप · पाठ

सीक्रेट्स प्रबंधन और RBAC

कंटेनर परिवेशों में संवेदनशील डेटा प्रबंधित करने और भूमिका-आधारित पहुँच नियंत्रण (RBAC) लागू करने की उन्नत रणनीतियाँ सीखिए।

पाठ 3, कुल 4 में से12 चरण

सीक्रेट्स प्रबंधन और RBAC, CoddyKit पर DevOps बूटकैंप का एक निःशुल्क पाठ है। यह 4 में से 3वाँ पाठ है। इस अध्ययन पथ के 3 तक कोई भी पाठ पूरा पढ़ना निःशुल्क है — इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ व्यावहारिक अभ्यास भी उपलब्ध कराता है। यह DevOps बूटकैंप सीखने के मार्ग का हिस्सा है और आपकी प्रगति वेब तथा CoddyKit ऐप पर सिंक होती रहती है। DevOps बूटकैंप पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

अपने कंटेनर वातावरण को सुरक्षित करें

स्वागत है! इस पाठ में हम कंटेनरीकृत अनुप्रयोगों के लिए महत्वपूर्ण सुरक्षा प्रथाओं पर विस्तार से चर्चा करेंगे: गुप्त जानकारी का प्रबंधन और भूमिका-आधारित पहुँच नियंत्रण (RBAC)।

ये अवधारणाएँ संवेदनशील डेटा की सुरक्षा करने और यह सुनिश्चित करने के लिए महत्वपूर्ण हैं कि आपके कंटेनर वातावरण में केवल अधिकृत इकाइयाँ ही विशिष्ट कार्रवाइयाँ कर सकें।

गुप्त जानकारी को कोड में लिखने का खतरा

API कुंजियों, डेटाबेस पासवर्ड या निजी प्रमाणपत्रों जैसी संवेदनशील जानकारी को सीधे अपने अनुप्रयोग कोड या Dockerfile में लिख देना एक बड़ा सुरक्षा जोखिम है।

उजागर होना: आपके कोड रिपॉज़िटरी या बनाई गई इमेज तक पहुँच रखने वाला कोई भी व्यक्ति इन्हें आसानी से देख सकता है।
नियंत्रण का अभाव: किसी गुप्त जानकारी को बदलने के लिए पूरे अनुप्रयोग को फिर से बनाना और परिनियोजित करना पड़ता है।
अनुपालन संबंधी समस्याएँ: यह कई सुरक्षा सर्वोत्तम प्रथाओं और विनियामक आवश्यकताओं का उल्लंघन करता है।

पर्यावरण चर (सावधानी के साथ)

गुप्त जानकारी भेजने का एक सामान्य, लेकिन हमेशा सुरक्षित नहीं, तरीका पर्यावरण चरों के माध्यम से है। Docker आपको -e फ़्लैग के साथ इन्हें भेजने देता है और अनुप्रयोग इन्हें पढ़ सकते हैं।

हालाँकि, पर्यावरण चरों का आसानी से निरीक्षण किया जा सकता है (जैसे, docker inspect) और वे शेल इतिहास या लॉग में बने रह सकते हैं। वास्तव में संवेदनशील डेटा के लिए बेहतर समाधान उपलब्ध हैं।

Docker Secrets का उपयोग

Docker Secrets आपको संवेदनशील डेटा को सुरक्षित रूप से संग्रहीत करने और कंटेनरों तक पहुँचाने देते हैं। जब कोई गुप्त जानकारी कंटेनर से संलग्न की जाती है, तो वह /run/secrets/ में एक अस्थायी फ़ाइल के रूप में माउंट हो जाती है।

पहले आप एक गुप्त जानकारी बनाएँगे (जैसे, echo "my_secure_pass" | docker secret create app_secret -)। इसके बाद आपका अनुप्रयोग इसे पढ़ सकता है:

import os

def main():
    secret_path = "/run/secrets/app_secret"
    try:
        with open(secret_path, 'r') as f:
            secret_value = f.read().strip()
        print(f"Secret read: {secret_value}")
    except FileNotFoundError:
        print("Secret file not found. Make sure it's mounted.")
    except Exception as e:
        print(f"An error occurred: {e}")

if __name__ == "__main__":
    main()

Kubernetes Secrets का अवलोकन

Docker Secrets की तरह ही Kubernetes में संवेदनशील जानकारी संग्रहीत और प्रबंधित करने के लिए "Secrets" नामक अपनी ऑब्जेक्ट होती है। इन गुप्त जानकारियों को Pods में फ़ाइलों के रूप में माउंट किया जा सकता है या पर्यावरण चरों के रूप में उपलब्ध कराया जा सकता है।

महत्वपूर्ण: Kubernetes Secrets डिफ़ॉल्ट रूप से एन्क्रिप्टेड नहीं, बल्कि base64 में एन्कोडेड होते हैं। इसका अर्थ है कि इन्हें आसानी से डीकोड किया जा सकता है। संग्रहीत डेटा के वास्तविक एन्क्रिप्शन के लिए आपको अतिरिक्त कॉन्फ़िगरेशन की आवश्यकता होगी (जैसे, KMS एकीकरण)।

K8s Secrets के साथ परिनियोजन

आइए, Kubernetes Secret को परिभाषित करने और फिर Pod के भीतर उसका उपयोग करने का एक उदाहरण देखते हैं। आप Secrets को YAML में परिभाषित कर सकते हैं या kubectl कमांड के माध्यम से बना सकते हैं।

बनाए जाने के बाद, कोई Pod Secret को वॉल्यूम के रूप में माउंट करने या उसके मानों को पर्यावरण चरों के रूप में डालने के लिए संदर्भित कर सकता है।

apiVersion: v1
kind: Pod
metadata:
  name: my-secret-pod
spec:
  containers:
  - name: my-app-container
    image: busybox
    command: ["sh", "-c", "echo Username: $(cat /etc/secrets/username) Password: $(cat /etc/secrets/password)"]
    volumeMounts:
    - name: secret-volume
      mountPath: "/etc/secrets"
      readOnly: true
  volumes:
  - name: secret-volume
    secret:
      secretName: my-k8s-secret

बाहरी गुप्त जानकारी संग्रह

अत्यधिक संवेदनशील डेटा के लिए, या कई क्लस्टरों और वातावरणों में गुप्त जानकारियों का प्रबंधन करते समय, बाहरी गुप्त जानकारी प्रबंधन उपकरण जैसी उन्नत सुविधाएँ देते हैं:

केंद्रीकृत संग्रहण: सभी गुप्त जानकारियों के लिए सत्य का एकमात्र स्रोत।
संग्रहीत और संचरण के दौरान एन्क्रिप्शन: अधिक मजबूत सुरक्षा आश्वासन।
गतिशील गुप्त जानकारियाँ: स्वतः उत्पन्न होने वाली, कम समय तक मान्य प्रमाण-पत्र।
ऑडिट और पहुँच नियंत्रण: बारीकी से नियंत्रित अनुमतियाँ और व्यापक लॉगिंग।

लोकप्रिय विकल्पों में HashiCorp Vault, AWS Secrets Manager और Azure Key Vault शामिल हैं।

RBAC क्या है?

भूमिका-आधारित पहुँच नियंत्रण (RBAC) अधिकृत उपयोगकर्ताओं तक सिस्टम की पहुँच सीमित करने की एक विधि है। अलग-अलग उपयोगकर्ताओं को सीधे अनुमतियाँ देने के बजाय, अनुमतियों को "भूमिकाओं" में समूहित किया जाता है और फिर उपयोगकर्ताओं को उन भूमिकाओं से जोड़ा जाता है।

कंटेनर ऑर्केस्ट्रेशन में RBAC यह सुनिश्चित करता है कि उपयोगकर्ताओं, अनुप्रयोगों या सेवाओं के पास संसाधनों (जैसे Pods, Deployments, Secrets) के साथ काम करने के लिए केवल आवश्यक अनुमतियाँ हों।

K8s RBAC के निर्माण खंड

Kubernetes RBAC कुछ प्रमुख संसाधन प्रकारों का उपयोग करता है:

भूमिका: किसी विशिष्ट नेमस्पेस के भीतर अनुमतियाँ परिभाषित करती है (जैसे, "dev" नेमस्पेस में "pods देख सकता है")।
ClusterRole: पूरे क्लस्टर में अनुमतियाँ परिभाषित करता है (जैसे, "सभी pods देख सकता है" या "नोड प्रबंधित कर सकता है")।
RoleBinding: किसी नेमस्पेस के भीतर किसी उपयोगकर्ता, समूह या सेवा खाते को Role में परिभाषित अनुमतियाँ देता है।
ClusterRoleBinding: पूरे क्लस्टर में किसी उपयोगकर्ता, समूह या सेवा खाते को ClusterRole में परिभाषित अनुमतियाँ देता है।

RBAC उदाहरण: पहुँच सीमित करना

आइए, किसी विशिष्ट सेवा खाते को किसी विशेष नेमस्पेस में केवल pods की सूची देखने और उन्हें प्राप्त करने की अनुमति देने का उदाहरण देखते हैं। इससे न्यूनतम विशेषाधिकार का सिद्धांत लागू होता है।

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""] # "" indicates the core API group
  resources: ["pods"]
  verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods-binding
  namespace: default
subjects:
- kind: ServiceAccount
  name: pod-viewer-sa # Name of the ServiceAccount to bind to
  namespace: default
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

अपनी समझ की जाँच करें

आपने संवेदनशील डेटा को सुरक्षित रखने और पहुँच नियंत्रित करने के बारे में सीखा है। अब एक त्वरित जाँच का समय है!

इंटरैक्टिव पाठ में इसका उत्तर दें

पुनरावलोकन: अपने अनुप्रयोग सुरक्षित करें

बहुत अच्छा! इस पाठ में आपने कंटेनर सुरक्षा के दो महत्वपूर्ण स्तंभों के बारे में सीखा:

गुप्त जानकारी का प्रबंधन: Docker Secrets और Kubernetes Secrets का उपयोग करके संवेदनशील डेटा की सुरक्षा करना तथा उनकी खूबियों और सीमाओं को समझना।
भूमिका-आधारित पहुँच नियंत्रण (RBAC): न्यूनतम विशेषाधिकार का सिद्धांत सुनिश्चित करने के लिए Kubernetes में बारीकी से नियंत्रित अनुमतियाँ लागू करना।

इनमें दक्षता प्राप्त करके आप अधिक मजबूत और सुरक्षित कंटेनरीकृत अनुप्रयोग बना रहे हैं!

शुरुआत निःशुल्क

एआई शिक्षक के साथ DevOps बूटकैंप सीखें — निःशुल्क

अपने ब्राउज़र में वास्तविक कोड लिखें और चलाएँ, चौबीसों घंटे एआई शिक्षक से तुरंत सहायता पाएँ, और वेब या ऐप पर वहीं से शुरू करें जहाँ आपने छोड़ा था।

पाठ्यक्रम: 142
पाठ: 568

निःशुल्क सीखना शुरू करें पूरा पाठ्यक्रम देखें

अक्सर पूछे जाने वाले प्रश्न

क्या “सीक्रेट्स प्रबंधन और RBAC” पाठ निःशुल्क है?

हाँ — DevOps बूटकैंप अध्ययन पथ के 3 तक कोई भी पाठ, जिसमें “सीक्रेट्स प्रबंधन और RBAC” भी शामिल है, यहाँ वेब पर पूरा पढ़ना निःशुल्क है। इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ इंटरैक्टिव अभ्यास भी उपलब्ध कराता है। DevOps बूटकैंप पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

“सीक्रेट्स प्रबंधन और RBAC” में मैं क्या सीखूँगा?

कंटेनर परिवेशों में संवेदनशील डेटा प्रबंधित करने और भूमिका-आधारित पहुँच नियंत्रण (RBAC) लागू करने की उन्नत रणनीतियाँ सीखिए। आप ब्राउज़र में सीधे चलाए जाने वाले व्यावहारिक कोड के साथ DevOps बूटकैंप का अभ्यास करते हैं, और पाठ पूरा करते समय 24/7 एआई ट्यूटर आपके प्रश्नों के उत्तर देता है।

क्या DevOps बूटकैंप शुरू करने के लिए मुझे किसी अनुभव की आवश्यकता है?

पहले के अनुभव की आवश्यकता नहीं है। CoddyKit पर DevOps बूटकैंप शुरुआती से लेकर उन्नत शिक्षार्थियों तक सभी के लिए व्यवस्थित किया गया है, इसलिए आप यहीं से या शुरुआत से सीखना शुरू कर सकते हैं और अपनी गति से आगे बढ़ सकते हैं। यह 4 में से 3वाँ पाठ है।

“सीक्रेट्स प्रबंधन और RBAC” पाठ पूरा करने में कितना समय लगता है?

CoddyKit का अधिकांश पाठ लगभग 5–10 मिनट में पूरा हो जाता है। हर पाठ छोटा और संवादात्मक है, इसलिए आप लगातार प्रगति करते हैं और वेब या ऐप पर वहीं से सीखना जारी रख सकते हैं जहाँ आपने छोड़ा था।

क्या मैं इस DevOps बूटकैंप पाठ में कोड लिख और चला सकता हूँ?

हाँ। हर DevOps बूटकैंप पाठ में एक अंतर्निर्मित कोड संपादक शामिल है, जिससे आप सीधे अपने ब्राउज़र में वास्तविक कोड लिख और चला सकते हैं और तुरंत एआई प्रतिक्रिया पा सकते हैं—स्थानीय सेटअप की आवश्यकता नहीं है।

इस पाठ्यक्रम के सभी पाठ

कंटेनर इमेज सुरक्षा स्कैनिंग
रनटाइम कंटेनर सुरक्षा
सीक्रेट्स प्रबंधन और RBAC
नेटवर्क नीतियाँ और न्यूनतम-अधिकार नेटवर्किंग

← DevOps बूटकैंप पर वापस जाएँ