Вопрос или проблема
Я обсуждал с разработчиком хранение чувствительной информации в переменных окружения. В частности, в контейнеризованной среде, такой как Azure Container Apps.
Фоновая информация
В контейнерных приложениях вы можете передавать
секреты во время процесса сборки контейнера из среды Azure.
Эти секреты становятся общесистемными переменными окружения внутри
контейнера.
Мой мыслительный процесс таков, что хотя конфигурация контейнера значительно ограничивает риск, она не устраняет его полностью. Хотя существует очень мало работающих процессов, которые также могут получить доступ к переменным окружения, один из этих процессов доступен из интернета. Также любой, кто может получить доступ к окружению контейнера в Azure, может получить доступ к этим секретам.
Мой предпочтительный метод — получать секреты по мере необходимости из хранилища ключей Azure, но это создает некоторые технические проблемы с кодом.
Множество фреймворков, блогов и руководств утверждают, что доступ к этой информации из переменных окружения допустим. Однако у меня также складывается впечатление, что это связано с тем, что хранилища являются относительно новыми, и это был просто лучший выбор ранее.
Вопрос:
Безопасно ли хранить секреты в переменных окружения так же, как в хранилище ключей?
Безопасно ли хранить секреты в переменных окружения так же, как в хранилище ключей?
Краткий ответ — Нет.
Переменная никогда не будет настолько безопасной, как хранилище.
Всегда рекомендуется использовать хранилище ключей, когда это возможно.
Вы хотите изолировать/разделить секреты от разработчиков и приложений.
Дополнительная информация: я рекомендую этот пост: Хранилище ключей Azure против переменных окружения Azure – какой способ правильный?
Смотрите больше здесь, что может помочь с кодом:
- https://stackoverflow.com/questions/70671135/how-to-pass-the-secret-from-azure-key-vault-to-environmental-variable
- https://learn.microsoft.com/en-us/azure/app-service/app-service-key-vault-references?tabs=azure-cli
В общем, использование хранилища ключей делает вашу разработку более портативной.
Просто добавьте строку в ваше приложение Functions:
@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/mysecret/)
Смотрите больше здесь: https://learn.microsoft.com/en-us/azure/app-service/app-service-key-vault-references?tabs=azure-cli#reference-syntax
https://learn.microsoft.com/en-us/azure/container-instances/container-instances-environment-variables#secure-values
Не забывайте менять чаще, когда не используете хранилище ключей.
Ответ или решение
Безопасность хранения секретов в контейнеризованной среде
Вопрос хранения конфиденциальной информации в переменных окружения в контейнеризованных приложениях, таких как Azure Container Apps, поднимает серьезные проблемы безопасности. Важно рассмотреть, насколько безопасным является использование переменных окружения для хранения секретов по сравнению с использованием специализированных решений, таких как Azure Key Vault.
1. Хранение секретов в переменных окружения
Контейнерные приложения позволяют передавать секреты во время процесса сборки контейнера и использовать их в виде переменных окружения. Однако следует отметить, что это решение не является безрисковым:
-
Доступ к переменным окружения: Секреты, хранящиеся в переменных окружения, могут быть доступны любому процессу, запущенному в контейнере. Это подразумевает, что любой интернет-ориентированный процесс или уязвимость в приложении может потенциально привести к утечке секретов.
-
Доступ через Azure: Любой пользователь или система, обладающие доступом к контейнерной среде Azure, также имеют доступ к этим секретам. Это создает риск несанкционированного доступа.
2. Безопасность Azure Key Vault
Использование Azure Key Vault предоставляет ряд преимуществ по сравнению с хранением секретов в переменных окружения:
-
Изоляция и управление доступом: Key Vault позволяет более строго контролировать доступ к секретам, обеспечивая возможность управления правами пользователей и приложений на уровне конкретных действий.
-
Логи и мониторинг: Azure Key Vault предлагает расширенные функции для мониторинга доступа к секретам, что помогает выявлять и реагировать на потенциальные угрозы.
-
Автоматизированное управление секретами: Azure Key Vault поддерживает автоматизированное обновление и ротацию секретов, что минимизирует риск их скомпрометирования.
3. Рекомендации по практическому применению
В свете вышесказанного, рекомендуется придерживаться следующих принципов:
-
Используйте Azure Key Vault: Храните все критически важные секреты в Azure Key Vault вместо переменных окружения. Это обеспечит более высокий уровень безопасности.
-
Интеграция Кода: Используйте API Azure Key Vault для получения секретов, чтобы минимизировать необходимость хранения конфиденциальной информации в коде. Пример кода для обращения к секрету может выглядеть следующим образом:
@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/mysecret/) -
Частая ротация секретов: Если вы всё же решили использовать переменные окружения, кухайти секреты как можно чаще, чтобы снизить шансы их использования после компрометации.
-
Обучение разработчиков: Проведите обучение для команды разработчиков о важности безопасного обращения с конфиденциальной информацией и о различных подходах к её хранению.
4. Заключение
Как видно из проведенного анализа, использование Azure Key Vault обеспечивает значительно более высокий уровень безопасности по сравнению с хранением секретов в переменных окружения. Для достижения наилучших результатов в области безопасности рекомендуется интегрировать Key Vault в рабочие процессы разработчиков и использовать этот инструмент для управления конфиденциальной информацией.
Для более подробной информации, можно ознакомиться с документацией Azure и ресурсами на Stack Overflow, которые могут помочь в интеграции ключей и секретов в ваше приложение.