秘密情報には出どころも書いてくれ！頼む！ - KAYAC Engineers' Blog

SREチームの長田です。 KAYAC Advent Calendar 2022の11日目の記事です。 アプリケーションから何かしらの外部サービスを利用するとき、そのサービスを利用するためのAPI Keyなり秘密鍵なりの秘密情報を保持することになります。 暗号化したものをファイルとしてアプリケーションに持たせたり、 Amazon Web Services(AWS)ならAWS Secrets Managerや AWS Systems ManagerのParameter Store(SSM Paramater Store)に保存したものを実行時に読み込んだりするでしょう。 これらの秘密情報、どこから来たのかわかりますか？ どこから来た秘密情報なのか 秘密情報を使って出どころを調べられるのであれば問題はないでしょう。 # 例えばAWSのIAM User Credenntialsとか $ AWS_A

[sho]

tokenそのものに出自を埋め込んで欲しいけど、それはそれとしてこれは良いプラクティス

[thaim]

これは確かに。sopsで管理する手間まで掛けなくてもterraformのSecrets Manager等リソースコードにコメントとして残すだけでも有益そう。

[inatax]

”すべての暗号は無限の計算リソースを費やせば鍵がなくとも復号できてしまいます” 無限の計算時間を仮定するならもう設定ファイルの公開非公開とか関係なくない？

[efcl]

revokeするときに困るので、descriptionに出自を書くという話

[strawberryhunter]

個別の設定方法とか覚えていられないので全部記録を残しておく。

[nisisinjuku]

アプリ開発とかしてた頃は秘密鍵たくさん出てたなｗ　プログラマ氏とその辺で揉めたりｗ

[pokepirk]

無限の計算リソースは言い過ぎだけど、パスワード入力の回数制限つけないとかと同じで簡単に何回も試せる状態にしちゃうのはセキュリティリスクですよという話では

[OKIIZO]

GCPのやつにもラベルとアノテーションあるよね？

[fjch]

2212110800 AWS Sercets Manager/AWS SSM Parameter Store は description という秘密情報の説明を書く項目。

[t_motooka]

この手の管理、小さな組織だととても上手く行くけども、大きな組織だとどこかで破壊されてしまうのが辛いところ（大抵は「緊急案件」のせい）

[natu3kan]

出典大事。

[rokkakuika]

これはタイトルだけで判断すると誤解する記事なので本文を読むことを推奨。

[mizukmb]

非常にわかる

[aox]

取材源の秘匿です

[ya--mada]

どゆいみかわからない

[halfrack]

わかる...

[otation]

サービスとかフレームワーク側で入力必須にしてほしい

[chi-bd]

"Use the source. Write it."

[sinsoku]

大事。コミットログに残して欲しい。

[ken39arg]

大事！！！

[sfujiwara]

ほんとお願いしたい