SG
Если ты на столько не доверяешь своим сотрудникам, то это проблема побольше, чем секреты.
Size: a a a
2019 November 13
DZ
Т.е. он его и унесет?
да, но только он и только его
DZ
в заландо сделано следующим образом: разработчик шифрует секрет KMS ключем (у них есть самописная cli для этого), сохраняет получившийся текст в k8s secret. Дальше у них есть прослойка (не помню как это называется, secret operator?) которая расшифровывает секрет KMS ключем при старте пода (или обращении к секрету) используя IAM role инстанса
DZ
Если ты на столько не доверяешь своим сотрудникам, то это проблема побольше, чем секреты.
когда у тебя тысячи разработчиков это даже не обсуждается - конечно не доверяешь
SG
Разработчики вообще не должны иметь доступа к секретам.
SG
Только команда админов. А их тысячами не набирают.
DZ
а админа который собрался уходить пускать в расход?
SG
Возвращаемся к вопросу доверия.
DZ
почему вдруг админ должен иметь доступ например к paypal api key? Зачем он ему?
SG
Т.е. ты предлагаешь доверить его разработчику?
DZ
Возвращаемся к вопросу доверия.
само собой, но в большой компании никакого доверия не должно быть - очевидно же
DZ
Т.е. ты предлагаешь доверить его разработчику?
да
DZ
он его запишет в vault и т.п. и все
DZ
больше никто его не будет знать
SG
Странное решение. Как по мне, так доверия админу сильно больше.
SG
Пусть админ его записывает
DZ
а не какие-то супер-пупер доверенные админы
DZ
Странное решение. Как по мне, так доверия админу сильно больше.
это еще с какой стати?
SG
А с какой стати разраб?
SG
Пусть тогда СЕО забивает секреты в волт