Почему вы должны хранить секреты в хранилище?

Question

Похоже, общеизвестно, что рекомендуется хранить файлы секретов (все, что содержит пароли, ключи API и т. Д.) Из вашего репозитория git (указания здесь, здесь, здесь, здесь и там еще много)

Зачем?

Answer 1

Это повышает безопасность за счет того, что значения этих "секретов" (и других значений, связанных с паролем / безопасностью / токеном) известны только в производственной среде, а не в любом месте, где извлекается хранилище. Каждая среда (например, локальная разработка, сервер разработки, промежуточный / демонстрационный сервер, производственная среда и т. Д.) Должна иметь свою собственную отдельную конфигурацию параметров аутентификации или безопасности, если это возможно, и они должны быть настроены в локальной среде, а не сохранены в самом коде приложения.

Даже если ваш репозиторий является приватным, он все равно не безопасен. Разработчики приходят и уходят. Шеф люди приходят и уходят. Управление проектами приходит и уходит. У вас могут быть сторонние подрядчики с доступом к репо. Достаточно большой проект, как правило, заставляет многих актеров работать над ним с течением времени, и нет необходимости, чтобы кто-либо из них знал значения конфигурации производства (за исключением, возможно, фельдшеров). Даже с частным репозиторием все еще существует риск безопасности для раскрытия секретных ключей / значений любому, кто имеет доступ к репо.