DeSoft.ru

Уже несколько заметок были посвящены теме утечек секретов ([1], [2]). На этот раз рассмотрим один из вариантов, как все-таки можно ими управлять, чтобы не пришлось рвать волосы на голове и вырезать коммиты из репозитория.

Платформа с открытым исходным кодом Infisical - централизованное решение с широким набором возможностей по контролю за конфигурациями, ключами и иными конфиденциальными данными. Ее и развернем локально для проверки предлагаемой функциональности.

📝 Некоторые особенности системы
▪️ Формирование структуры управления с разделением по организациям и проектам.
▪️ Версионирование, откаты и ротация секретов.
▪️ Динамические секреты.
▪️ Синхронизация секретов с другими инструментами, решающими подобную задачу.
▪️ Внутренний центр сертификации (PKI) и управление ключами (KMS).
▪️ Поддержка разнообразных методов аутентификации пользователей.
▪️ Богатый api и наличие sdk для быстрого встраивания в код.

🔨 Установка
▫️ Разворачивать будем self-hosted версию, используя docker.

# забираем compose и .env файлы
wget -O docker-compose.yml https://raw.githubusercontent.com/Infisical/infisical/main/docker-compose.prod.yml
wget -O .env https://raw.githubusercontent.com/Infisical/infisical/main/.env.example

▫️ При публикации в прод нужно сгенерировать собственные ключи доступа, задать пароли и настроить требуемые интеграции со сторонними сервисами. Описание переменных окружения здесь. Для тестового стенда оставим все по умолчанию.

# запускаем
docker compose up -d

▫️ Идем в приложение на 80 порт (http://localhost), создаем аккаунт администратора и попадаем в панель управления.

⚒️ Подготовка
Необходимо создать проект, пользователя, клиента и несколько секретов. Подробно процесс описал в полной версии статьи на сайте. Здесь же опущу эти шаги в угоду размера поста.

🚀 Получение доступа к секретам с использованием python sdk
▫️ Устанавливаем sdk

pip install infisicalsdk

▫️ Записываем в переменные окружения системы полученные Client ID, Client Secret, Project ID

export CLIENT_ID=<my client id>
export CLIENT_SECRET=<my client secret>
export PROJECT_ID=<my project id>

▫️ Обращаемся к Infisical из python скрипта и получаем секреты

import os
from infisical_sdk import InfisicalSDKClient
# забираем переменные окружения
client_id = os.getenv("CLIENT_ID")
client_secret = os.getenv("CLIENT_SECRET")
project_id = os.getenv("PROJECT_ID")
# инициализация клиента и авторизация
client = InfisicalSDKClient(host="http://localhost")
client.auth.universal_auth.login(client_id=client_id, client_secret=client_secret)
# получаем список всех секретов в dev окружении
secrets = client.secrets.list_secrets(project_id=project_id, environment_slug="dev", secret_path="/")
print(secrets)
# получаем секрет MYAPI_KEY из окружения prod по имени
mysecret = client.secrets.get_secret_by_name(
    secret_name="MYAPI_KEY",
    project_id=project_id,
    environment_slug="prod",
    secret_path="/",
)
print(mysecret)

💡 Дополнительно стоит отметить, что система поставляется в том числе в виде cli инструмента, с помощью которого можно как получать и проверять секреты с центрального сервера, генерируя из них переменные окружения или файлы конфигураций, так и анализировать репозитории на утечки секретов по аналогии с уже рассмотренным GitLeaks. Еще одним полезным применением Infisical cli является возможность добавления утилиты прямо в Dockerfile для формирования переменных окружения контейнера в реальном времени, что исключает необходимость прямой передачи секретов.

📌 Решение несложно настраивается, предоставляет широкий набор вариантов интеграции, а в совокупности с целым комплексом решаемых задач станет неплохим подспорьем как для небольшой команды, так и для крупной организации с множеством проектов, где требования контроля и безопасности очень высоки. В качестве примера была рассмотрена одна из наиболее важных функций платформы, отдельного внимания стоят реализации центра сертификации и системы управления ключами.

#management #opensource #selfhosted #security