Comment puis-je enregistrer mes clés secrètes et le mot de passe de manière sécurisée dans mon système de contrôle de version?

- Je conserver les paramètres importants comme les noms d'hôte et les ports de développement et de production de serveurs dans mon système de contrôle de version. Mais je sais que c'est mauvaise pratique de garder secrets (comme des clés privées et de la base de données des mots de passe) dans un dépôt VCS.

Mais des mots de passe, comme tout autre paramètre--semblent comme ils devraient être versionnés. Donc, ce que est la bonne façon de garder les mots de passe de la version contrôlée?

J'imagine qu'il consisterait à maintenir le secrets dans leur propre "secrets" paramètres du fichier et avoir que fichier crypté et la version contrôlée. Mais quelles technologies? Et comment le faire correctement? Est-il une meilleure façon entièrement d'aller à ce sujet?

Je vous pose la question en général, mais dans mon cas précis, je voudrais stocker des clés secrètes et mots de passe pour un Django/Python site à l'aide de git et github.

Aussi, un idéal solution serait de faire quelque chose de magique quand je push/pull avec git--par exemple, si les mots de passe cryptés modifications du fichier de l'exécution d'un script qui demande un mot de passe et le déchiffre en place.

EDIT: Pour plus de clarté, je suis demandant où stocker production secrets.

En fait avant de l'argent pour garder le repo privé.
J'ai en fait déjà payer pour un repository privé, mais le fait demeure, vous ne devriez pas conserver les informations sensibles de votre référentiel.
Je pense qu'une grande partie de la raison des réponses satisfaisantes seront difficiles à obtenir, c'est que l'ancienne, en clair le mot de passe pour se connecter à une base de données est une relique de moins hostile ère. La bonne réponse est quelque chose comme "votre code ne doit pas avoir besoin d'un secret", mais les systèmes que vous accédez à ne pas vous donner beaucoup de choix.
Aurez-vous accès à ces données confidentielles uniquement à partir de Python? Alors je vous recommande d'un fichier spécial de l'objet.
un fichier spécial de l'objet? Qu'est-ce que cela? Où puis-je trouver de la documentation?
Pourquoi? Il n'y a rien de valeur dans la version de contrôle des mots de passe pour les services extérieurs. La valeur principale de contrôle de version, c'est que vous pouvez inspecter l'historique des révisions de votre application appelée à être en ordre de marche et de les exécuter. Cependant, d'anciens mots de passe sont inutiles pour vous. Si ils ont été révoqué, ils ne jamais travailler à nouveau.
ce que vous dites est logique, mais dans ce cas, que recommandez-vous?
Double Possible: programmers.stackexchange.com/questions/205606/...

InformationsquelleAutor Chris W. | 2012-07-20

98

Vous avez tout à fait raison de vouloir crypter votre fichier de paramètres, tout en conservant le fichier dans le contrôle de version. Comme vous le mentionnez, la meilleure solution serait que le Git de manière transparente crypter certains fichiers sensibles lorsque vous appuyez sur eux, de sorte que localement (c'est à dire sur toute la machine de votre certificat de), vous pouvez utiliser le fichier de paramètres, mais Git ou Dropbox ou celui qui est le stockage de vos fichiers sous VC ne pas avoir la capacité de lire les informations en clair.

Tutoriel sur la Transparence de Chiffrement/Déchiffrement, au cours de Push/Pull

Ce gist https://gist.github.com/873637 montre un tutoriel sur la façon d'utiliser le Git du smudge/nettoyer le filtre de pilote avec openssl pour chiffrer de manière transparente poussé fichiers. Vous avez juste besoin de faire un peu de configuration initiale.

Résumé de la Façon dont il Fonctionne

Vous aurez essentiellement être la création d'un .gitencrypt dossier contenant les 3 scripts bash,
```
clean_filter_openssl 
smudge_filter_openssl 
diff_filter_openssl 
```
qui sont utilisés par Git pour le décryptage, le cryptage, et le soutien Git diff. Un maître-mot de passe et le sel (fixe!) est définie à l'intérieur de ces scripts, et vous DEVEZ vous assurer que .gitencrypt n'est jamais vraiment poussé.
Exemple clean_filter_openssl script:
```
#!/bin/bash

SALT_FIXED=<your-salt> # 24 or less hex characters
PASS_FIXED=<your-passphrase>

openssl enc -base64 -aes-256-ecb -S $SALT_FIXED -k $PASS_FIXED
```
Similaires pour smudge_filter_open_ssl et diff_filter_oepnssl. Voir Les Gist.

Votre repo avec des informations sensibles doivent avoir un .gitattribute fichier (non chiffré et inclus dans le repo) qui fait référence à la .gitencrypt répertoire (qui contient tout ce qui Git besoins pour crypter/décrypter le projet de manière transparente) et qui est présent sur votre machine locale.

.gitattribute contenu:
```
* filter=openssl diff=openssl
[merge]
    renormalize = true
```
Enfin, vous devrez également ajouter le contenu suivant votre .git/config fichier
```
[filter "openssl"]
    smudge = ~/.gitencrypt/smudge_filter_openssl
    clean = ~/.gitencrypt/clean_filter_openssl
[diff "openssl"]
    textconv = ~/.gitencrypt/diff_filter_openssl
```
Maintenant, lorsque vous appuyez sur le référentiel contenant vos informations sensibles à un dépôt distant, les fichiers seront chiffrés de manière transparente. Lorsque vous tirez sur une machine locale qui a la .gitencrypt répertoire contenant votre mot de passe), les fichiers de manière transparente décrypté.

Notes

Je tiens à noter que ce tutoriel n'est pas de décrire une façon, à seulement crypter votre fichier de paramètres. De cette manière transparente chiffrer l'intégralité d'un référentiel qui est poussé à la distance de CR d'accueil et de décrypter l'ensemble du référentiel de sorte qu'il est entièrement décrypté localement. Pour obtenir le comportement que vous voulez, vous pouvez placer des fichiers sensibles pour un ou plusieurs projets dans un sensitive_settings_repo. Vous pourriez étudier comment cette technique de chiffrement transparent fonctionne avec des submodules http://git-scm.com/book/en/Git-Tools-Submodules si vous avez vraiment besoin de le fichiers sensibles dans le même référentiel.

L'utilisation d'un fixe phrase pourrait théoriquement conduire à la force brute des vulnérabilités si les pirates ont eu accès à de nombreux chiffré repos/fichiers. OMI, la probabilité pour que ce soit très faible. Comme une note au bas de ce tutoriel mentionne pas l'utilisation d'un mot de passe multiterme entraînera des versions locales de pensions de titres sur des machines différentes, toujours montrant que des modifications ont eu lieu avec "git status".
- Oh très intéressant. Cela sonne presque exactement comme ce que je veux (à l'exception de son chiffrement intégral du référentiel).
- Vous pouvez soit garder confidentielles les fichiers de réglages pour de multiples applications dans chiffré référentiel ou ajouter le chiffrés référentiel avec la sensibilité des paramètres de votre projet en tant que Git sous-module tel que décrit ici git-scm.com/book/en/Git-Tools-Submodules .
- Le stockage de la production de mots de passe/les paramètres dans un (crypté) submodules n'est pas rare. stackoverflow.com/questions/11207284/... . Il serait même le rendre plus facile pour gérer les paramètres de l'ensemble des projets.
- Il pourrait être utile de vérifier github.com/AGWA/git-crypt la mise à jour de la solution. Il a l'avantage de permettre des fichiers individuels à encripted, et il prétend être "prouvable sémantiquement sûr". L'auteur de l'essentiel du texte lui-même suggéré que cet outil est le meilleur, github.com/shadowhand/git-encrypt .
InformationsquelleAutor dgh
52

Heroku pousse l'utilisation de variables d'environnement pour les paramètres et les clés secrètes:

L'approche traditionnelle pour le traitement de telles config vars est de les mettre sous la source dans un fichier de propriétés d'une certaine sorte. C'est source d'erreurs, et est d'autant plus compliqué pour l'open source applications qui ont souvent pour maintenir séparés (et privé) branches avec application des configurations spécifiques.

Une meilleure solution consiste à utiliser des variables d'environnement, et de garder les clés de la code. Sur un traditionnel de l'hôte ou de travailler localement, vous pouvez définir des variables d'environnement dans votre bashrc. Sur Heroku, vous utilisez config vars.

Avec le Contremaître et .env fichiers Heroku fournir une enviable de la chaîne d'exporter, d'importer et de synchroniser les variables d'environnement.

Personnellement, je crois que c'est mauvais pour enregistrer les clés secrètes aux côtés de code. C'est fondamentalement incompatible avec le contrôle de source, parce que les touches sont pour les services extrinsèque à la le code. Une aubaine serait qu'un développeur peut clone de la TÊTE et de l'exécution de l'application sans aucune configuration. Cependant, supposons qu'un développeur récupère un historique de révision du code. Leur copie comprendra l'année dernière base de données de mot de passe, de sorte que l'application ne pourra pas aujourd'hui de base de données.

Avec le Heroku méthode ci-dessus, un développeur peut la caisse de l'année dernière application, configurez-le avec les touches, et de l'exécuter avec succès contre, aujourd'hui, la base de données.
- Cette réponse n'a pas assez d'attention, mais il coïncide avec le linux façon.
- Donc, si des variables d'environnement sont définies dans votre bashrc, et vous êtes le déploiement d'un nouveau serveur, ce qui crée le bashrc? N'est-ce pas simplement déplacer les mots de passe de votre code source repo, et dans votre déploiement de config? (ce qui est probablement aussi dans le code source repo, ou dans une pension qui lui est propre?)
- votre .bashrc ne devrait pas figurer dans le code des pensions de pour votre Django app.
- D'accord! Je ne comprends pas très bien ce que vous obtenez en. Désolé d'être dense.
- Hm, peut-être que j'ai mal compris votre commentaire? Il sonnait comme vous disiez que le déploiement de config/.bashrc est dans le code source repo.
- Désolé, mon commentaire est ambigu, mais c'est parce que je suis vraiment confus. J'aime le son de cette réponse, du point de vue, mais n'ont jamais entièrement compris. Si je suis le déploiement de plusieurs environnements différents, dont chacun contient plusieurs hôtes, et peut-être de plusieurs types de machines, alors évidemment, j'ai besoin d'automatiser la création de l' .bashrc fichiers qui existent sur chaque hôte à l'ensemble de ses variables d'environnement. Donc, la réponse, c'est de dire que je devrais avoir un deuxième repo, séparé de ma source, qui contient tous les paramètres qui deviennent des variables d'environnement .bashrc sur le déploiement?
- Je ne pense pas que vous avez besoin pour automatiser la création de l' .bashrc. Vous pouvez utiliser certaines central wiki ou README ou quelque chose (ce qui n'est pas suivi dans un VCS et que seuls les employés de l'entreprise ont accès à l') qui contient ces mots de passe et des instructions sur la façon de les définir comme des variables d'environnement. Les variables d'environnement ont seulement besoin d'être configuré de sorte que chaque développeur devra le faire quand ils ont d'abord configurer son ordinateur (ou sur les serveurs pour la mise en scène/production).
- Ils ont seulement besoin d'être configurés une fois PAR machine déployer pour. Si votre processus de déploiement est de "tourner une nouvelle machine et de test c'est OK avant de rediriger du trafic vers elle et la pousse alors l'ancienne dans la tête", qui à mon humble avis est la meilleure pratique, alors vous avez vraiment besoin d'automatiser la création de ce qui l'env de vars.
- Je dirais que si vous voulez automatiser le déploiement, puis vous stockez les mots de passe pour le déploiement au sein de ce système. Ils ne sont rien à voir avec le développement des pensions. par exemple, si vous utilisez quelque chose comme de marionnettes, de marionnettes est responsable pour le déploiement de la bashrc et les mots de passe sont donc gérées à l'intérieur de ça.
InformationsquelleAutor Colonel Panic
16

La façon la plus propre à mon avis est d'utiliser des variables d'environnement. Vous n'aurez pas à traiter avec .dist fichiers par exemple, et l'état du projet sur l'environnement de production seraient les mêmes que celles de votre machine.

Je recommande la lecture de Les Douze Facteur Apps'config chapitre, les autres aussi si vous êtes intéressés.
- Il semble que les variables d'environnement sont un bon moyen pour exécuter l'application avec le secret paramètres... mais il ne marche pas encore répondre à la question de l'endroit où garder ces paramètres.
- Vous devriez avoir un fichier README pour chacune de vos applications. Là, de spécifier les variables d'environnement doivent être définies, et à chaque fois que vous déployez un projet, il suffit de suivre les étapes et chacune d'entre elles. Vous pouvez également créer un script shell avec de nombreux export MY_ENV_VAR=, et lorsque vous déployez, il suffit de le remplir avec les valeurs de droite et source il. Si par garder tu veux dire la version les paramètres, vous ne devriez pas faire cela en premier lieu.
- Aussi, upvote pour La période de Douze Facteur App--des trucs vraiment super.
- Et si vous avez de déploiement automatisé?
- Mise à jour de votre environnement de production ne devrait pas modifier les variables d'environnement. Si vous souhaitez les mettre à jour, vous devez le faire manuellement, si vous déployez une nouvelle version de votre application ou pas.
- Je suis inquiet à propos de l'affaire de la création de nouvelles instances de serveur. Cela peut être fait automatiquement à l'échelle de la circulation, ou pour certains magasins, c'est une partie de la routine du déploiement d'une nouvelle version de votre application. Définition des variables d'environnement manuellement à chaque fois ne semble pas approprié dans ce cas.
- Je ne suis pas un expert en la matière, mais de la façon la plus simple je pense, est d'avoir un script shell qui crée un autre script qui sera utilisé pour définir les variables d'environnement (en d'autres serveurs) par une seule exécution.
- La droite, qui fait sens, et c'est là que mes pensées étaient dirigées trop. Mais dans ce cas, le script shell est conservé dans un code source repo, droit? Alors nous sommes de retour là où nous avons commencé avec l'OP du problème.
- Je ne crois pas que c'est une mauvaise idée à la version des scripts utiles. Le script généré doit être ignorée si.
- Parlons-nous d'un script généré? J'ai raté cette partie. Ce qui l'engendre et quand? Merci pour votre patience.
- Deux réponses avant celui-ci, je vous parlais d'un script qui crée un autre. 🙂 Pas de problème, je serais heureux de vous aider.
- Je ne comprends toujours pas comment les variables d'environnement serait fixé. Le 12 facteur de page de l'application ne fait pas claire non plus (sauf si vous êtes sur Heroku, qui mon projet actuel ne l'est pas.) Sommes-nous dire qu'une génération de script doit demander une centrale config store "je suis de la machine X, merci de me donner ma config de données", et qui répond, avec les valeurs des variables d'environnement qui doit être réglé. Dans ce cas, je n'ai pas pense vous avez besoin d'un script généré plus. Je suis follement spéculer ici, je suis à aboyer jusqu'à la droite de l'arbre?
InformationsquelleAutor Samy Dindane
10

Une option serait de mettre de projet lié à des informations d'identification dans un conteneur chiffré (TrueCrypt ou Keepass) et de le pousser à.

Mise à jour en tant que réponse de mon commentaire ci-dessous:

Question intéressante btw. Je viens de trouver ceci: github.com/shadowhand/git-encrypt qui semble très prometteur pour le cryptage automatique
- Il serait agréable d'avoir quelque chose sur lequel j'ai pu automatiser. Tels que, si mon mot de passe crypté fichier changements qu'il déchiffre automatiquement le nouveau fichier.
- Question intéressante, btw. Je viens de trouver ceci: github.com/shadowhand/git-encrypt qui semble très prometteur pour le cryptage automatique.
- Wow, génial. La description de git-encrypt ressemble exactement à ce que je cherche " Quand on travaille avec une télécommande dépôt git qui est hébergé sur un tiers de serveur de stockage, la confidentialité des données, parfois, devient un sujet de préoccupation. Cet article vous guide à travers les procédures de configuration de dépôts git pour votre répertoire de travail sont aussi normaux (non cryptés), mais le contenu est crypté". (Bien sûr, je veux seulement un sous-ensemble de mon contenu crypté...)
- postez votre commentaire en réponse, de sorte que Chris pouvait l'accepter - sons comme c'est ce qu'il cherche.
- Je l'ai fait, merci pour l'astuce 🙂
InformationsquelleAutor schneck
9

Je suggère d'utiliser des fichiers de configuration pour qui et pour pas version les.

Vous pouvez cependant la version des exemples de fichiers.

Je ne vois pas de problème de partage de paramètres de développement. Par définition, il ne doit pas contenir de précieuses données.
- Mais alors où stocker les canonique enregistrements de mots de passe? Cela me rendrait nerveux pour que les données assis seul dans un fichier de configuration sur une machine qui peut faire exploser un jour.
- Si la machine explose, vous n'avez pas nécessairement besoin du mot de passe plus... Cependant, si vous avez seulement une copie des données sur votre machine de production, qui devrait soulever un drapeau rouge. Mais cela ne signifie pas qu'il devrait être dans les CV. Il devrait y avoir de RAID, les sauvegardes complètes complétée par des sauvegardes sur des supports magnétiques et optiques. Beaucoup de sociétés ont une procédure de contrôle des modifications qui peuvent dicter comment et où stocker les mots de passe et d'autres matériaux sensibles sur le papier.
- Je ne veux être rude, mais il semble que vous ne nous dites pas la vérité et les mots de passe que vous souhaitez stocker ne sont pas utilisés dans le Développement, mais dans la production. N'est-ce pas vrai? Sinon, pourquoi s'en faire pour un développement ou une machine de test et de développement, les mots de passe? Personne ne le ferait.
- BTW, au sein de notre société, tous les mots de passe sont disponibles sur papier et sur l'intranet. Parce qu'ils n'ont aucune valeur. Ils sont là parce que les logiciels que nous développons des besoins d'authentification.
- vous avez raison, ma question est à propos de ce faire à l'égard de la production de mots de passe. Je n'ai pas de soin particulier à propos de l'enregistrement de développement les mots de passe dans UN VCS en clair. Désolé si je n'ai pas fait que assez clair.
InformationsquelleAutor tiktak
7

BlackBox a été récemment publié par StackExchange et alors que je n'ai pas encore l'utiliser, il semble exactement à résoudre les problèmes et prendre en charge les fonctionnalités demandées dans la présente question.

De la description sur https://github.com/StackExchange/blackbox:

Stocker en toute sécurité les secrets dans un VCS repo (c'est à dire Git ou Mercurial). Ces
les commandes de le rendre facile pour vous de GPG crypter des fichiers spécifiques dans une pension de
ils sont donc "cryptées au repos" dans votre référentiel. Cependant, l'
les scripts de le rendre facile à déchiffrer lorsque vous avez besoin de consulter ou de modifier
eux, et de les décrypter pour pour une utilisation en production.

InformationsquelleAutor Chris W.
6

Depuis posant cette question, j'ai décidé de trouver une solution, que j'utilise lorsque le développement de la petite application avec une petite équipe de personnes.

git-crypt

git-crypt utilise GPG pour chiffrer de manière transparente les fichiers quand leurs noms correspondent à certains modèles. Pour l'intance, si vous ajoutez à votre .gitattributes fichier...
```
*.secret.* filter=git-crypt diff=git-crypt
```
...puis un fichier comme config.secret.json sera toujours poussé à distance repos avec le chiffrement, mais rester non crypté sur votre système de fichiers local.

Si je veux ajouter une nouvelle clé GPG (une personne) à votre repo qui peut décrypter les fichiers protégés, puis exécutez git-crypt add-gpg-user <gpg_user_key>. Cela crée un nouveau commit. Le nouvel utilisateur sera en mesure de déchiffrer ultérieure s'engage.

InformationsquelleAutor Chris W.
5

Je vous pose la question en général, mais dans mon cas précis, je voudrais
pour stocker des clés secrètes et mots de passe pour un Django/Python site à l'aide de git
et github.

Non, il suffit de ne pas, même si c'est votre repo privé et vous n'avez jamais l'intention de le partager, de ne pas.

Vous devez créer un local_settings.py mettre sur VCS ignorer et dans votre settings.py faire quelque chose comme
```
from local_settings import DATABASES, SECRET_KEY
DATABASES = DATABASES

SECRET_KEY = SECRET_KEY
```
Si vos secrets les paramètres sont que polyvalent, je me suis empressé de dire que vous faites quelque chose de mal
- Mais je vais tout de même besoin de garder une trace de ces secrets quelque part. E. g., keypass ou quelque chose le long de ces lignes, à droite?
- La réglementation et la mise en œuvre de stocker des données privées dépend de la politique de la société du projet pour. Je doute fortement de la source du projet de code est le bon endroit que tout tiers testeur ou un programmeur pouvait voir ces
InformationsquelleAutor Hedde van der Heide
4

EDIT: je suppose que vous voulez garder une trace de vos mots de passe précédents versions - dire, pour un script qui permettrait d'éviter le mot de passe de réutiliser etc.

Je pense que GnuPG est la meilleure façon d'aller - il est déjà utilisé dans un git liées au projet (git-annex) pour chiffrer le contenu du référentiel stockées sur les services cloud. GnuPG (gnu pgp) fournit un très forte en fonction de clé de chiffrement.
1. Vous garder sur une touche de votre machine locale.
2. Vous ajoutez 'monmotdepasse' pour les fichiers ignorés.
3. Sur pre-commit hook vous chiffrer le monmotdepasse fichier dans le monmotdepasse.gpg fichier suivis par git et l'ajouter à la livraison.
4. Sur le post-fusion crochet vous venez de décrypter monmotdepasse.gpg dans monmotdepasse.
Maintenant, si votre 'monmotdepasse' fichier n'a pas changé alors le chiffrement il entraînera avec le même texte chiffré, et il ne sera pas ajouté à l'index (pas de redondance). Moindre modification de monmotdepasse résultats radicalement différentes chiffré et monmotdepasse.gpg dans la zone de transit diffère beaucoup de celui de dépôt, ainsi sera ajouté à la commettre. Même si l'attaquant obtient une emprise de votre clé gpg il a encore besoin de bruteforcer le mot de passe. Si l'attaquant obtient un accès à distance dépôt avec texte chiffré, il est possible de comparer un tas d'chiffrés, mais leur nombre ne sera pas suffisant pour lui donner des non-négligeable avantage.

Plus tard, vous pouvez utiliser .gitattributes de fournir une volée de déchiffrement pour quitter la commande git diff de votre mot de passe.

Aussi vous pouvez avoir des clés séparées pour les différents types de mots de passe, etc.

InformationsquelleAutor pielgrzym
3

D'habitude, j'ai séparé le mot de passe dans le fichier de configuration. et de les rendre dist.
```
/yourapp
    main.py
    default.cfg.dist
```
Et quand je lance main.py, mettre le mot de passe réel dans default.cfg que copié.

ps. lorsque vous travaillez avec git ou hg. vous pouvez ignorer *.cfg de fichiers pour les rendre .gitignore ou .hgignore
- Je ne suis pas familier avec .dist fichiers, comment fonctionnent-ils?
- .dist fichiers de quoi je parlais: exemples concrets de fichiers de configuration. Une bonne pratique est qu'il doit être possible d'utiliser le logiciel uniquement par le fait de renommer en supprimant le ".dist" extension (ou mieux: de la copie), qui est, vous devriez être en mesure d'essayer le logiciel en quelques secondes, sans avoir à le configurer au cours de la journée.
InformationsquelleAutor admire
3

Fournir un moyen de remplacer la config

C'est la meilleure façon de gérer un ensemble de sain d'esprit des valeurs par défaut pour la configuration que vous checkin sans exiger la config complète, ou contiennent des choses comme le nom d'hôte et les informations d'identification. Il ya quelques façons de le remplacer par défaut configs.

Variables d'environnement (comme d'autres l'ont déjà mentionné) sont un moyen de le faire.

La meilleure façon est de chercher un externe fichier de config qui remplace la configuration par défaut des valeurs. Cela vous permet de gérer la configuration par l'intermédiaire d'un système de gestion de configuration comme Chef, Puppet ou Cfengine. Gestion de la Configuration est la réponse standard pour la gestion des configurations distinctes de la base de code de sorte que vous n'avez pas à faire à une version mise à jour de la config sur un seul hôte ou un groupe d'hôtes.

FYI: Chiffrement creds n'est pas toujours une bonne pratique, surtout dans un endroit avec des ressources limitées. Il peut être le cas que le creds vous gagnera pas de risques supplémentaires d'atténuation et il suffit d'ajouter une couche supplémentaire de complexité. Assurez-vous de faire la bonne analyse avant de prendre une décision.

InformationsquelleAutor dietbuddha
2

Chiffrer les mots de passe de fichiers, en utilisant par exemple GPG. Ajouter les clés sur votre ordinateur local et sur votre serveur. Décrypter le fichier et de le mettre à l'extérieur de votre dépôt des dossiers.

- Je utiliser un mot de passe.conf, situé dans mon repertoire. Sur tous les déployer, ce fichier est mis à jour.
- Ensuite, le logiciel a besoin pour décrypter le fichier de mot de passe.
- Eh bien, seulement lors du déploiement du site le mot de passe d'obtenir décrypté et écrites dans un fichier de mot de passe en texte brut
InformationsquelleAutor Willian
2

Non, les clés privées et les mots de passe ne tombent pas sous le contrôle de révision. Il n'y a pas de raison de le fardeau de tout le monde avec un accès en lecture à votre dépôt avec la connaissance sensible de service informations d'identification utilisées dans la production, quand les plus susceptibles de ne pas tous d'entre eux devraient avoir accès à ces services.

De départ avec Django 1.4, votre Django projets sont livrés avec un project.wsgi module qui définit la application de l'objet et c'est un endroit parfait pour commencer l'application de l'utilisation d'un project.local paramètres de module qui contient le site des configurations spécifiques.

Ce module est ignoré du contrôle de révision, mais sa présence est requise lors de l'exécution de votre projet exemple comme une application WSGI, typique pour les environnements de production. C'est comment il devrait ressembler à:
```
import os

os.environ.setdefault("DJANGO_SETTINGS_MODULE", "project.local")

# This application object is used by the development server
# as well as any WSGI server configured to use this file.
from django.core.wsgi import get_wsgi_application
application = get_wsgi_application()
```
Maintenant vous pouvez avoir une local.py module qui est le propriétaire et le groupe peut être configuré de sorte que seul le personnel autorisé et le Django processus peut lire le contenu du fichier.

InformationsquelleAutor Filip Dupanović
2

Si vous avez besoin de VCS pour vos secrets, vous devriez au moins les maintenir dans un deuxième référentiel séparés de vous code. De sorte que vous pouvez donner à vos membres de l'équipe de l'accès au référentiel de code source et qu'ils ne verront pas vos informations d'identification. En outre, l'hôte de ce référentiel à un autre endroit, par exemple. sur votre propre serveur avec un système de fichiers chiffré, pas sur github) et pour vérifier le système de production vous pouvez utiliser quelque chose comme git-sous-module.

InformationsquelleAutor Bernhard Vallant
1

Une autre approche pourrait être d'éviter complètement de sauver les secrets dans les systèmes de contrôle de version et au lieu d'utiliser un outil comme la voûte de hashicorp, un secret de stockage de clés de roulement et de l'audit, avec une API embarqué et de chiffrement.

InformationsquelleAutor Kai Peters
1

C'est ce que je fais:
- Garder tous les secrets de env vars dans $HOME/.secrets (aller-r perms) que $HOME/.bashrc sources (de cette façon, si vous ouvrez .bashrc en face de quelqu'un, ils ne verront pas les secrets)
- Fichiers de Configuration sont stockés dans VCS comme modèles, comme config.propriétés stockées en tant que config.les propriétés.tmpl
- Les fichiers de modèle contiennent un espace réservé pour le secret, tels que:
  
  mon.mot de passe=##MY_PASSWORD##
- Sur le déploiement de l'application, le script est exécuté, qui transforme le fichier de modèle dans le fichier cible, remplaçant les espaces par des valeurs de variables d'environnement, comme le changement ##MY_PASSWORD## à la valeur de $MY_PASSWORD.
InformationsquelleAutor Pavel Chernikov
0

Vous pouvez utiliser EncFS si votre système dispose que. Ainsi, vous pouvez garder vos données cryptées comme un sous-dossier de votre référentiel, tout en offrant à votre demande un décrypté afficher les données de la montée de côté. Comme le cryptage est transparent, pas d'opérations spéciales sont nécessaires pour tirer ou pousser.

Toutefois, il serait nécessaire de monter le EncFS des dossiers, ce qui pourrait être fait par votre application à partir d'un mot de passe stocké ailleurs, en dehors de la version de dossiers (par exemple. les variables d'environnement).

InformationsquelleAutor dronus

Vous devez vous connecter pour publier un commentaire.