git - 有没有办法在 Windows 上的 Jenkins 中通过 SSH 使用 AWS KMS 进行 key 管理？

Question

我们在 Windows 下有一个 Jenkins 设置，它有一个主实例和一个工作实例，每个实例都在 AWS 的 EC2 上运行。我们在每个实例中设置了一个单独的帐户，该帐户用于在每个实例上运行 Jenkins 服务。我们使用 Git bash 通过 SSH 生成 key 并将公钥复制到 Bitbucket，从而允许主实例从存储库中获取 Jenkinsfile，并允许工作实例获取整个存储库以进行构建。目前，我们手动生成 key ，它们位于服务器上(位于我们的防火墙后面)，但为了使脚本简单， key 缺少密码。我们对此的舒适度非常低，因此我们正在寻找其他选择。我们知道 AWS 有 KMS，它允许我们生成和轮换我们的 key ，但我们不确定如何将 ssh 与 AWS KMS 连接起来。任何关于 AWS KMS 和 SSH 的建议或想法，或者保护 key 安全的更好方法，都将不胜感激。

Answer 1

是的!可以使用 KMS 存储您的 key ，但该过程并不像您所描述的那样直截了当。 KMS 确实只生成和管理用于加密或解密内容的 key ，因此您需要开发一个像平台一样的中间件来与 KMS 交互并协调这个过程。

在 Fugue 博客上有一个如何使用 KMS 存储数据库密码的示例:
https://blog.fugue.co/2015-04-21-aws-kms-secrets.html

在示例中，credstash 是协调获取和存储数据库密码的步骤的中间件/平台。您还可以使用 credtstash 安全地存储 ssh key 并在 jenkins 服务器上再次检索它。密码的传输将由 credstash 保护。

脚步:
1) 生成 ssh key
2)使用 credstash 将 ssh key 字符串放入 dynamo(credstash 使用 dynamo DB 存储加密数据)
3)使用 credstash 获取 ssh key 并将其写入 jenkins。