AWSアクセスキーをGithubにあげてしまった時の対処方法 - Qiita

WEBサービス開発歴7ヶ月目に突入しましたにこと申します。 先日、GithubにAWSアクセスキーをあげてしまいました。 その時は事の重大さをわかっておらず、言われるがままにコマンドをうち対処が出来たのですが、調べれば調べるほど「とんでもないことをしていた・・・！」ということがわかりました。 AWSで不正利用され80000ドルの請求が来た話 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 もう今後アクセスキーをあげることはないですが、愚かな人間なのでまた何らかを間違えてやってしまうかもしれません・・・。 二度とないことを誓いつつ、もし万が一やらかしてしまった場合、また同じようにアクセスキーをあげてしまったような方に向け、手順をしっかり残したいと思います。 まずはAWSのアクセスキーを無効化 ※2021/1/30追記 Githubの手順よりも先にAWSのアクセ

[klim0824]

コメントでも指摘されてる通り、AWSのアクセスキーを無効化する作業を最優先。その後はこの内容で後始末。

[gengesa]

初心者が誤ったことを書くのは仕方ないけど、誤った内容でもLGTMが集まることで良い記事として勧める仕様はQiitaの重大な欠陥の一つ

[T-miura]

どう考えても、キーの無効化、ローテーションだよな、、一瞬でクロールくるで、、、

[odakaho]

“Githubの場合、force pushしてもサーバー側では残っています。なのでcommit hashさえわかればforce pushしたあとも当該commitを見ることができます。レポジトリごと消さない限り、force pushしたかに関わらずcommitは残り続けます”

[ys0000]

Qiitaもコメントが機能しているからマシだね。AWSのアクセスキーを無効にしましょうという最初に行うべき事が示されている。設定ファイルに組み込むなら最低限.gitignoreに入れないとね

[y-kawaz]

いやそんな事どうでも良いからアクセスキー無効化して新しいの使えよ。

[unijam]

“まずそのAWSのアクセスキーを無効化しましょう。IAMで出来ます。 仮に他で本番利用しているキーでも問答無用で無効化すべきです。”

[umai_bow]

どうしてもrevokeできない事情があるとしても、まずはコミット履歴改ざんせずにただ巻き戻してforce push かな〜。そのあとローカルで作業すればよし

[knok]

revokeしても大変な作業にならないよう1passwordにしまってるな。そうでなくとも退職者とか出たら入れ替えられるようにしないとな

[causeless]

"@miyahancom いいえ、真っ先にやるべきことはAWSマネコンでアクセスキーを無効化し、CloudTrailでキーが悪用されていないか確認することです。 AWSアクセスキーをGithubにあげてしま…" from https://twitter.com/i/web/status/1352996208877268992

[burnworks]

何よりも先にそのアクセスキーを無効化しないと全然OKじゃないと思うけど（と思ったらコメント欄で結構指摘されてた

[kako-jun]

GitHubはpush後に警告出るんだっけ。でも、なぜキーがコミットされたのか分からないわ。あらゆるデフォルト.gitignoreでkeyやrsaの3文字を拒否してくれれば事故は起きない？

[monomoti]

確かに、まずそのアクセスキー消せばいいんだ