เหตุใดจึงไม่ควรเก็บ Secrets ไว้ใน values.yaml

values.yaml ของชาร์ตเป็นข้อความธรรมดาที่ไม่ได้เข้ารหัส ทุกสิ่งที่คุณเขียนไว้ที่นั่น รวมถึงรหัสผ่าน จะอ่านได้โดยทุกคนที่เปิดไฟล์

โดยทั่วไปชาร์ตจะอยู่ใน Git ข้อมูลลับที่คอมมิตไว้เพียงครั้งเดียวยังคงอยู่ในประวัติแม้คุณลบออกแล้ว ดังนั้นข้อมูลที่รั่วไหลจึงไม่หายไป 🔒

การใส่รหัสผ่านจริงลงใน values.yaml โดยตรงเพื่อให้ระบบทำงานได้นั้นเป็นเรื่องที่ชวนให้ทำ แต่ควรห้ามใจไว้ เพราะค่านั้นจะแพร่กระจายไปทุกที่

เมื่อติดตั้ง Helm จะบันทึกค่าที่ผสานแล้วลงในซีเคร็ต รีลีส ภายในคลัสเตอร์ ดังนั้นรหัสผ่านแบบข้อความธรรมดาของคุณจะอยู่ที่นั่นด้วย

ทุกคนที่เข้าถึงรีลีสได้สามารถเรียกใช้ helm get values เพื่ออ่านค่าที่คุณส่งเข้าไปกลับมาได้ตรง ๆ รวมถึงรหัสผ่านแบบข้อความธรรมดา

การส่งข้อมูลลับผ่าน --set ในกระบวนการทำงานมักพิมพ์ข้อมูลเหล่านั้นลงในบันทึกการสร้าง ซึ่งจะแสดงให้ทั้งทีมเห็นอย่างชัดเจน

กฎนี้เรียบง่าย: ข้อมูลลับต้องไม่อยู่ในรูปข้อความธรรมดาภายในชาร์ต ใน Git หรือบนบรรทัดคำสั่ง ต้องเก็บข้อมูลเหล่านี้ไว้ภายนอก

รูปแบบที่ปลอดภัยคืออ้างอิงข้อมูลลับแทนการฝังค่าไว้ เทมเพลตจะชี้ไปยังทรัพยากร Secret ที่คลัสเตอร์มีอยู่แล้ว

เมื่อค่าลับจำเป็นต้องอยู่ใน Git จริง ๆ ให้จัดเก็บแบบเข้ารหัส เพื่อให้ไฟล์ที่คอมมิตไว้ไม่มีประโยชน์หากไม่มีกุญแจถอดรหัส

มีสามแนวทางในการแก้ปัญหานี้ ได้แก่ การเข้ารหัสค่าด้วยเครื่องมือ การดึงข้อมูลลับจากที่จัดเก็บภายนอก หรือการสร้างออบเจ็กต์ Secret จากข้อมูลที่ส่งเข้าไป

Base64 ใน Kubernetes Secret เป็นเพียงการแปลงรหัส ไม่ใช่การเข้ารหัส จึงไม่ได้ซ่อนข้อมูลใด ๆ และไม่ควรถือว่าค่าที่แปลงแล้วได้รับการปกป้อง

เหตุใดการใส่รหัสผ่านไว้ใน values.yaml จึงมีความเสี่ยงสูง

คุณได้เห็นแล้วว่าเหตุใดข้อมูลลับแบบข้อความธรรมดาใน values.yaml จึงรั่วไหลผ่าน Git ข้อมูลรีลีส และบันทึก CI และเหตุใดจึงต้องอ้างอิงหรือเข้ารหัสข้อมูลเหล่านั้นแทน 🎉