AWS Secrets Manager vs Environment Variable

1. Você deve armazenar segredos em variáveis ​​de ambiente?
2. Por que você não deve usar variáveis ​​Env para dados secretos?
3. Qual é a diferença entre o AWS KMS e o Secrets Manager?
4. Qual é a diferença entre o gerente de segredos e o parâmetro?
5. É ruim armazenar credenciais em variáveis ​​de ambiente?
6. Por que as variáveis ​​do ambiente são ruins?
7. O que posso usar em vez de variáveis ​​de ambiente?
8. As variáveis ​​de ambiente da AWS são criptografadas?
9. Quais são os 3 tipos de chaves kms?
10. O AWS Secrets Manager é caro?
11. É o KMS da mesma forma que o HSM?
12. Qual é a diferença entre segredos e parâmetros da AWS?
13. Você pode armazenar arquivos no gerente de segredos?
14. Posso armazenar segredos na loja de parâmetros?
15. Onde você armazena segredos Kubernetes?
16. Você deve armazenar segredos no git?
17. Onde você mantém segredos na AWS?
18. Quando é necessário armazenar segredos em variáveis ​​e qual é a maneira apropriada de protegê -las?
19. Quais segredos em Kubernetes não devem ser armazenados como variáveis ​​de ambiente?
20. Qual é o melhor armazenamento para Kubernetes?
21. Por que não usar segredos de Kubernetes?
22. Qual é a diferença entre segredos do ambiente e segredos do repositório?
23. Qual é o melhor lugar para armazenar as chaves da API secreta?
24. Qual é a diferença entre o ambiente e os segredos do repositório no GitHub?

Você deve armazenar segredos em variáveis ​​de ambiente?

Segredos são variáveis ​​de ambiente com medidas de segurança extras para proteger seus valores. Quaisquer variáveis ​​de ambiente que definem informações sensíveis ou privadas (como credenciais) devem ser armazenadas como segredos. Um segredo pode ser definido como uma variável segura para qualquer número de serviços no ambiente.

Por que você não deve usar variáveis ​​Env para dados secretos?

Tantos segredos vazam para PagerDuty que eles têm um processo interno bem enredado para esfregá-los de sua infraestrutura. As variáveis ​​ambientais são passadas para processos infantis, o que permite acesso não intencional. Isso quebra o princípio do menor privilégio.

Qual é a diferença entre o AWS KMS e o Secrets Manager?

AWS KMS retorna uma chave de dados de texto simples e uma cópia dessa chave de dados criptografada sob a chave KMS. O Secrets Manager usa a chave de dados de texto simples e o algoritmo de criptografia avançado (AES) para criptografar o valor secreto fora da AWS KMS. Ele remove a tecla de texto simples da memória o mais rápido possível depois de usá -la.

Qual é a diferença entre o gerente de segredos e o parâmetro?

O armazenamento de parâmetros apenas permite que uma versão do parâmetro seja ativa a qualquer momento. O Secrets Manager, por outro lado, permite que várias versões existam ao mesmo tempo quando você está realizando uma rotação secreta.

É ruim armazenar credenciais em variáveis ​​de ambiente?

As variáveis ​​de ambiente são mais seguras que os arquivos de texto simples, porque são voláteis/descartáveis, não salvos; eu.e. Se você definir apenas uma variável de ambiente local, como "Definir PWD = qualquer que seja" e depois execute o script, com algo que sai do seu shell de comando no final do script, a variável não existe mais.

Por que as variáveis ​​do ambiente são ruins?

Variáveis ​​ambientais são estado global

As chances de contaminação cruzada variável são altas - nomeando acidentalmente uma variável a mesma que outra que é desconhecida para um propósito diferente (e.g. Caminho) está elevado, e isso pode ter tanto estranhos, difíceis de depurar e efeitos terríveis.

O que posso usar em vez de variáveis ​​de ambiente?

Arquivos YAML como uma alternativa às variáveis ​​de ambiente

Em vez de variáveis ​​de ambiente, é a melhor prática para lidar com parâmetros de configuração em um arquivo YAML que é armazenado em /dados /<aplicativo>/Compartilhado/Config e vinculado a/dados/<aplicativo>/Current/Config durante o processo de implantação, usando o AIDD_MIGRATE.

As variáveis ​​de ambiente da AWS são criptografadas?

Lambda armazena variáveis ​​de ambiente com segurança, criptografando -as em repouso. Você pode configurar o Lambda para usar uma chave de criptografia diferente, criptografar valores de variáveis ​​de ambiente no lado do cliente ou definir variáveis ​​de ambiente em um modelo de formação de nuvem da AWS com o AWS Secrets Manager.

Quais são os 3 tipos de chaves kms?

O AWS KMS suporta vários tipos de chaves KMS: teclas de criptografia simétrica, teclas simétricas de HMAC, chaves de criptografia assimétrica e chaves de assinatura assimétricas. As teclas KMS diferem porque contêm material de chave criptográfica diferente.

O AWS Secrets Manager é caro?

$ 0.40 por segredo por mês. Um segredo de réplica é considerado um segredo distinto e também será cobrado a $ 0.40 por réplica por mês. Para segredos que são armazenados por menos de um mês, o preço é proporcionado (com base no número de horas.)

É o KMS da mesma forma que o HSM?

A diferença entre HSM e KMS é que o HSM forma a forte base de segurança, geração segura e uso de chaves criptográficas. Ao mesmo tempo, o KMS é responsável por oferecer gerenciamento simplificado do ciclo de vida das chaves criptográficas, conforme os padrões de conformidade predefinidos.

Qual é a diferença entre segredos e parâmetros da AWS?

Nesse caso, a loja de parâmetros fornece um pouco mais de versatilidade. Ele tem a opção de armazenar dados não criptografados ou criptografar os dados com uma chave KMS. Com o Secrets Manager, os segredos são armazenados criptografados e não há opção para armazenar dados não criptografados. Então esse é um caso de uso para a loja de parâmetros.

Você pode armazenar arquivos no gerente de segredos?

Em vez de credenciais de codificação rígida em seus arquivos de código ou configuração, você pode simplesmente usar o Secrets Manager para armazená-los. Ele permite que você recupere segredos programaticamente substituindo credenciais codificadas em seu código por um gerente de segredos de chamada da API.

Posso armazenar segredos na loja de parâmetros?

A loja de parâmetros pode ser usada para armazenar a moda de segredos criptografados ou não criptografados. Ajuda a otimizar e simplificar as implantações de aplicativos armazenando dados de configuração ambiental, outros parâmetros e é gratuito.

Onde você armazena segredos Kubernetes?

Yaml, Kubernetes o armazena em etcd. Os segredos são armazenados em Clear em etcd, a menos que você defina um provedor de criptografia. Quando você define o provedor, antes que o segredo seja armazenado no etcd e depois que os valores são submetidos à API, os segredos são criptografados.

Você deve armazenar segredos no git?

Em resumo, não guarde seus segredos no Git! Isso se aplica a ambos os segredos que são codificados no seu aplicativo (como colocar a senha do banco de dados diretamente no código -fonte, que deve ser evitado a qualquer custo), além de manter arquivos de configuração com segredos ao lado do seu código -fonte (como como .

Onde você mantém segredos na AWS?

Você pode usar a chave gerenciada da AWS (AWS/SecretsManager) que o gerente de Secrets cria para criptografar seus segredos gratuitamente.

Quando é necessário armazenar segredos em variáveis ​​e qual é a maneira apropriada de protegê -las?

Use criptografia para armazenar segredos dentro .

Essas chaves também precisam ser armazenadas e compartilhadas com segurança, o que pode fazer parecer um problema sem fim!

Quais segredos em Kubernetes não devem ser armazenados como variáveis ​​de ambiente?

Segredos, como senhas, chaves, tokens e certificados não devem ser armazenados como variáveis ​​de ambiente. Essas variáveis ​​de ambiente são acessíveis dentro de Kubernetes pela chamada da API 'Get Pod' e por qualquer sistema, como o pipeline CI/CD, que tem acesso ao arquivo de definição do contêiner.

Qual é o melhor armazenamento para Kubernetes?

1. Openebs. OpenEbs é um projeto de código aberto que fornece soluções de armazenamento nativo em nuvem para Kubernetes. Ao contrário de outras soluções, o OpenEBS se integra facilmente ao Kubernetes, tornando -o uma solução popular.

Por que não usar segredos de Kubernetes?

Os dados secretos de Kubernetes são codificados no formato Base64 e armazenados como texto simples em etcd. O etcd é uma loja de valor-chave usada como uma loja de apoio para o estado de cluster e dados de configuração do Kubernetes. O armazenamento de segredos como texto simples no etcd é arriscado, pois eles podem ser facilmente comprometidos pelos atacantes e usados ​​para acessar sistemas.

Qual é a diferença entre segredos do ambiente e segredos do repositório?

Segredos de organização e repositório são lidos quando uma execução do fluxo de trabalho é filada e os segredos do ambiente são lidos quando um trabalho referenciando o ambiente inicia. Você também pode gerenciar segredos usando a API REST.

Qual é o melhor lugar para armazenar as chaves da API secreta?

Se você estiver usando segredos gerados dinamicamente, a maneira mais eficaz de armazenar essas informações é usar a API do Android Keystore. Você não deve armazená -los em preferências compartilhadas sem criptografar esses dados primeiro, porque eles podem ser extraídos ao executar um backup de seus dados.

Qual é a diferença entre o ambiente e os segredos do repositório no GitHub?

Os segredos do repositório são específicos para um único repositório (e todos os ambientes usados ​​lá), enquanto os segredos da organização são específicos para uma organização inteira e todos os repositórios sob ele. Você pode usar segredos do ambiente se tiver segredos específicos para um ambiente.