amazon-web-services - 我如何确保我的 secret 检索是安全的？

Question

目前，我正在使用 Terraform 和 Aws Secrets Manager 来存储和检索 secret ，我想了解我的实现是否安全，如果不安全，我该如何让它更安全。让我用我的尝试来说明。

在 secrets.tf 中，我创建了一个 secret (这需要通过定位来实现):

resource "aws_secretsmanager_secret" "secrets_of_life" {
  name = "top-secret"
}

然后我转到控制台并在 AWS Secrets Manager 中手动设置 key 。

然后我在 secrets.tf 中检索 secret ，例如:

data "aws_secretsmanager_secret_version" "secrets_of_life_version" {
  secret_id = aws_secretsmanager_secret.secrets_of_life.id
}

locals {
  creds = jsondecode(data.aws_secretsmanager_secret_version.secrets_of_life.secret_string)
}

然后我继续使用 secret (例如将它们导出为 K8s secret )，例如:

resource "kubernetes_secret" "secret_credentials" {
  metadata {
    name      = "kubernetes_secret"
    namespace = kubernetes_namespace.some_namespace.id
  }
  data = {
    top_secret = local.creds["SECRET_OF_LIFE"]
  }
  type = "kubernetes.io/generic"
}

值得一提的是，我远程存储了tf state。我的实现安全吗？如果不是，我怎样才能让它更安全？

Answer 1

是的，我可以确认它是安全的，因为您完成了以下操作:

• 代码中的纯文本 secret 。
• 您的 secret 存储在一个专用的 secret 存储区中，该存储区强制执行加密和严格的访问控制。
• 一切都在代码本身中定义。不需要额外的手动步骤或包装脚本。
• secret 管理器支持轮换 secret ，这在 secret 被泄露时很有用。

我唯一想知道的是使用像 s3 一样支持加密的 Terraform 后端，并避免将状态文件提交到您的源代码管理。