Alat pembangun · Docker lari ke Docker compose converter
Karang fail membawa rahsia: jauhkan kata laluan daripada blok persekitaran
· Mengapa ia penting
pekerja pelabuhan mengarang rahsia
Arahan docker run dengan -e DB_PASSWORD=... menjadi fail YAML dengan kata laluan yang sama dalam teks biasa. Siaran ini menerangkan sebab perkara itu penting, cara mengalih keluar rahsia dan sebab penukaran itu sendiri tidak sepatutnya meninggalkan mesin anda.
Kata laluan berada dalam perbezaan — fail Karang yang ditukar akan ditolak dengan nilai -e disalin secara verbatim
Kata laluan berada dalam perbezaan — fail Karang yang ditukar akan ditolak dengan nilai -e yang disalin secara verbatim. Bukti: kata laluan literal -e muncul secara verbatim dalam output persekitaran. Menghasilkan semula penempatan rahsia dengan literal pakai buang. Gandingkan setiap kejadian sumber dengan pembolehubah literal dan pemprosesan pelayar; simpan storan kelayakan dan fail untuk semakan destinasi.
Insiden rahsia juga mendedahkan bahawa sempadan insiden rahsia yang berasingan ialah perpustakaan penukaran ini sendiri sahaja menjalankan pemprosesan rentetan tempatan. Bukti: perpustakaan penukaran ini sendiri sahaja menjalankan pemprosesan rentetan tempatan. Kekangan penempatan rahsia ini adalah titik perhentian. Periksa pembolehubah literal dan pemprosesan pelayar tanpa gelagat pembuatan, kemudian dokumen semakan hos untuk storan bukti kelayakan dan fail.
Perkara yang berakhir dalam fail Karang — kata laluan, token, nama hos dalaman dan laluan yang menerangkan infrastruktur anda
Perkara yang berakhir dalam fail Karang — kata laluan, token, nama hos dalaman dan laluan yang menerangkan infrastruktur anda. Bukti: memasang rangkaian nama hos dan rujukan imej mungkin mendedahkan infrastruktur. Jejaki token peletakan rahsia ke dalam pembolehubah literal dan pemprosesan pelayar. Asingkan nilai tersusun daripada medan nilai terakhir; storan kelayakan dan fail adalah di luar koleksi.
Sempadan mekanisme rahsia yang berkaitan ialah Sempadan tatabahasa rahsia yang berasingan ialah rujukan env_file dipancarkan tetapi tiada . Bukti: rujukan env_file dikeluarkan tetapi tidak. Gunakan fakta peletakan rahsia ini untuk meramalkan satu ahli atau skalar dalam pembolehubah literal dan pemprosesan pelayar. Semak amaran sebelum memutuskan apa-apa tentang storan bukti kelayakan dan fail.
Penukar jauh boleh mendedahkan nilai yang ditampal; repositori ini sahaja membuktikan laluan penukaran tempatannya sendiri
Mengapa penukar dalam talian adalah satu risiko — menampal docker run ke dalam borang yang disiarkan ke pelayan menghantar setiap rahsia di dalamnya kepada pihak ketiga. Bukti: menghantar teks arahan dari jauh akan mendedahkan semua nilai yang disertakan; Penukar jauh boleh mendedahkan nilai yang ditampal; repositori ini sahaja membuktikan laluan penukaran tempatannya sendiri. Hakim siri penempatan rahsia daripada modelnya. Petikan dalam pembolehubah literal dan pemprosesan pelayar melindungi jenis tetapi tidak memberikan bukti operasi untuk storan kelayakan dan fail.
Pemerhatian bersiri rahsia kedua disimpan untuk bahagian rahsia ini arahan asal untuk bahagian rahsia ini dan amaran di sebelah untuk bahagian rahsia ini fail calon ini yang dipisahkan oleh keputusan bersiri rahsia yang diwakili untuk konfigurasi bahagian rahsia ini daripada konteks tidak hadir untuk metadata imej bahagian rahsia ini berada di luar transformasi bersiri rahsia. Bukti: repositori tidak memberikan masa jalan yang lebih luas atau bukti sejarah. Output peletakan rahsia ini memisahkan tetapan daripada konteks yang tidak tersedia. Pastikan pembolehubah literal dan pemprosesan pelayar boleh disemak dan semak storan bukti kelayakan dan fail secara bebas.
Pustaka penukaran ToolAcre tidak melakukan permintaan, manakala halaman sekeliling masih boleh memuatkan sumber tapak yang didedahkan
Cara penukar ToolAcre berkelakuan — penukaran berjalan dalam pelayar, tiada apa-apa yang dimuat naik dan panel rangkaian menunjukkannya. Bukti: perpustakaan penukaran ini sendiri sahaja menjalankan pemprosesan rentetan tempatan; Pustaka penukaran ToolAcre tidak melakukan permintaan, manakala halaman sekeliling masih boleh memuatkan sumber tapak yang didedahkan. Berhenti di pengecualian penempatan rahsia dan bukannya meneka. Sebarang penambahan berhampiran pembolehubah literal dan pemprosesan pelayar memerlukan sebab khusus penempatan yang terikat pada storan bukti kelayakan dan fail.
Satu lagi kekangan pengecualian rahsia ialah untuk bahagian rahsia ini simpan yang asal untuk arahan bahagian rahsia ini dan amaran untuk bahagian rahsia ini di sebelah fail calon ini. Simpan arahan penempatan rahsia asal di sebelah amaran. Perbandingan menunjukkan pembolehubah literal dan pemprosesan pelayar yang terkandung dan storan kelayakan dan keputusan fail yang masih manual.
Mengalihkan rahsia keluar daripada fail — ${VAR} interpolasi daripada .env, env_file dan rahsia berasaskan fail yang diabaikan git: untuk imej yang menyokongnya
Mengalihkan rahsia keluar daripada fail — ${VAR} interpolasi daripada .env, env_file dan rahsia berasaskan fail yang diabaikan git: untuk imej yang menyokongnya. Bina contoh penempatan rahsia daripada nama sintetik. Jadikan setiap pembolehubah literal dan item pemprosesan pelayar boleh dikesan tanpa mendedahkan butiran storan kelayakan pengeluaran dan fail.
Contoh contoh rahsia yang sama menunjukkan bahawa Sempadan contoh rahsia yang berasingan ialah penukaran setempat mengalih keluar satu laluan pemindahan tanpa menjadikan plaintext selamat. Bukti: penukaran setempat mengalih keluar satu laluan pemindahan tanpa menjadikan plaintext selamat. Fakta peletakan rahsia yang digandingkan harus kelihatan dalam pembolehubah literal dan pemprosesan pelayar. Catat baris itu dan elakkan andaian tentang storan kelayakan dan fail.
Contoh yang berjaya: menukar arahan MariaDB — YAML mentah dengan rahsia, kemudian versi yang dibersihkan dengan .env dan .gitignore
Contoh yang berjaya: menukar arahan MariaDB — YAML mentah dengan rahsia, kemudian versi yang dibersihkan dengan .env dan .gitignore. Bukti: kata laluan pengajaran mesti diganti secara manual sebelum disimpan. Terjemahkan akibat peletakan rahsia kepada satu pembolehubah literal yang boleh diperhatikan dan perbezaan pemprosesan pelayar. Docker memiliki storan kelayakan kemudian dan keputusan fail.
Pelaksanaan akibat rahsia juga menunjukkan Sempadan kesan rahsia yang berasingan ialah kata laluan -e literal muncul secara verbatim dalam output persekitaran. Pisahkan tanggungjawab penempatan rahsia: penukaran menulis pembolehubah literal dan pemprosesan pelayar, repositori mengalih keluar rahsia dan pengendali mengesahkan storan dan fail bukti kelayakan.
Perkara yang tidak dilindungi ini — pengurus rahsia, repositori yang disulitkan dan suntikan masa jalan, yang berbeza mengikut platform
Perkara yang tidak dilindungi ini — pengurus rahsia, repositori yang disulitkan dan suntikan masa jalan, yang berbeza mengikut platform. Bukti: pengurus rahsia dan penghantaran yang disulitkan berbeza mengikut platform. Hadkan skop peletakan rahsia kepada pembolehubah literal dan cawangan pemprosesan pelayar yang ditunjukkan di sini. Borang jiran dan lalai tidak dapat menjawab soalan storan kelayakan dan fail.
Satu lagi had skop rahsia berikut dari Sempadan had rahsia yang berasingan ialah pemasangan nama hos rangkaian dan rujukan imej mungkin mendedahkan infrastruktur. Anggap sempadan peletakan rahsia ini sebagai pengecualian. Lebih suka pembolehubah literal yang tepat dan pemprosesan pelayar berbanding tekaan tentang storan bukti kelayakan dan fail.
Bawa pulang: tukar secara setempat, kemudian luar rahsia — penukar memberi anda YAML tanpa pendedahan
Bawa pulang: tukar secara setempat, kemudian luar rahsia — penukar memberi anda YAML tanpa pendedahan. Audit penempatan rahsia sebagai pilihan sumber, medan model, pembolehubah literal dan baris pemprosesan pelayar dan amaran. Alih keluar rahsia sebelum menyemak storan kelayakan dan fail.
Akhir sekali, sumber pengambilan rahsia mengesahkan Sempadan keputusan rahsia yang berasingan ialah penyerahan teks arahan dari jauh akan mendedahkan semua nilai yang disertakan. Bukti: menghantar teks arahan dari jauh akan mendedahkan semua nilai yang disertakan. Tutup peletakan rahsia secara sempit: pembolehubah literal dan pemprosesan pelayar ialah calon; storan kelayakan dan fail serta kesetaraan shell bukan jaminan.