Коллеги, приветсвую! Уверен что здесь этот вопрос уже поднимался, но есть

ли способ защитить секреты в Vault от глаз DevOps'ов, админящих этот самый Vault?
Читаю официальные best practices но пока не сильно преблизился к решению проблемы.

11 ответов

26 просмотров

привет. можно пример?

Так не давай им доступ, или дай политику без чтения секретов. В чем проблема то?

Стикер

Обычно девопсы прячут от других сикреты а не наоборот )

отдайте секьюрщикам или кто у вас там это админит, но и тогда пусть они всё это сетапят… забирать права у людей на ресурс, который они засетапили, поведёт к достаточно простому белому пушистому зверьку)

Oleg-Nova Автор вопроса
Crysalis
отдайте секьюрщикам или кто у вас там это админит,...

Ситуация такая что в компании условно полтора devops'а и разделения как в большой компании на отдел Operations и отдел Security нет. Пока кажется рабочей идеей переход на SaaS решение для менеджмента секретов - Yandex Lockbox/AWS Secrets Manager/etc. При этом в аккаунтах куда у devops'ов нет доступа.

Oleg Nova
Ситуация такая что в компании условно полтора devo...

правильно, не надо давать доступ на секреты девопсам, дайте лучше всему яндексу :DDD

Oleg Nova
Ситуация такая что в компании условно полтора devo...

выглядит неплохо, но тогда и решать проблемы с доступом к секретам командам разработки, CI, etc, тоже тоже будет этот человек с доступом.

Стикер

Стикер

Oleg Nova
Ситуация такая что в компании условно полтора devo...

в вашем случае проще будет доверять. или делегировать настройку/экплуатацию условному vault иб инженеру

Похожие вопросы

Обсуждают сегодня

Подскажите, а есть vault lite или ченить такое?) А то нужен вольт для похода в вольт, но весит он ~500 мб) как-то многовато для парочки запросов ))
Alexandr Orloff
17
Всем привет, есть небольшая проблема Есть такой скрипт document.addEventListener('DOMContentLoaded', function () { const sliderTabs = document.querySelectorAll('.s...
A da
8
@go1337 @dblackCat Привет. Все ещё дрочусь с fastpanel. Добавил второй домен который должен смотреть в рут того же сайта, но так как это просто домен, а не сайт, я не могу ему...
Ross 🦴
9
До речі, в ево нема можливості чи якого розширення щоб з адмінки з телефона зайти і терміново щось в верстці поправити?
Женя
7
Ну, так - шо, грамодяне-эрленгяне? Все - готовы подписаться под словами "гуру" на счёт трудности применения POSIX threads и про, конкретно, мьютексы, что "... недопоставишь м...
Wlad
21
кто-нибудь пользуется тайм-трекерами во время работы? так много разных нагуглил, может есть что-то популярное
Lencore
8
Пацаны. Я разрабатываю софт для инвайтинга на телетон, и столкнулся с такой проблемой, в один из чатов не могу приглашать никого, не дает добавлять, в то же время через официа...
Kernel Panic
11
Скажите, а кому нужен Currency как отдельный плагин вместо полноценного ecommerce в OctoberCMS? Кто-то использует его уже или планирует в будущем? Может я что-то не понимаю?
Igor
13
Розмовами про Рево мені нагадали часи, коли шаблони правилися прямо в адмінці. Хто в курсі, чому відійшли від цієї практики, так блейд не працює? Доволі зручно ж було (інколи)
Женя
3
привет, как сбилдить свифт прогу статически? делаю -Xswiftc -static-executable - получаю такую ошибку: /lib/aarch64-linux-gnu/libc.a(pthread_join_common.o)(.note.stapsdt+0x14...
🦊 Fox 🌸 🌸
6
Карта сайта