Diele jo in Compose-bestân foar VPN? Ferwiderje de geheimen út de werjûn kopy

Elke kear as jo in Compose-bestân diele, besteane der twa artefakten: ien dy’t jo skreaun hawwe, en ien dy’t in ark werjout nei it ferfangen fan fariabelen. De twadde is faak gefoeliger as de earste, en dat is dejinge dy’t minsken sûnder lêzen yn in probleemrapport plakke. As jo allinnich it boarnebestân neisjogge, sjogge jo it ferkearde dokumint nei.

Fergelykje wat elke kopy befetsje kin foardat jo beslute wat fuort te heljen.

It werjûn model is in oar dokumint

Compose lost omjouwingsfariabelen op, foeget oerskriuwingsbestannen gear en produsearret in effektive konfiguraasje dy’t in lêzer net mear fan hânskreaune wearden ûnderskiede kin. In ferwizing lykas in fariabelnamme yn ’e boarne wurdt yn ’e útfier de accounttoken sels. De struktuer dy’t it bestân nuttich makket foar diagnoaze oerlibbet dy transformaasje; alles wat der nea yn thúshearre hat, oerlibbet it ek.

Werjaan it bestân sels foardat jo it tafoegje, en behannelje dy útfier as it artefakt dat jo neisjogge. As jo it net werjaan kinne, kinne jo net witte wat jo op it punt steane te publisearjen.

Geheimen sitte op mear plakken as it kaaierfjild

Begjin mei it fanselssprekkende: priveekaaiers, foarôf dielde kaaiers, tokens, wachtwurden en ferbynings-URL’s dêr’t oanmeldgegevens yn ferballe binne. Sjoch dan nei alles dêr’t it bestân nei wiist, want in ferwizing is gjin ferwidering. In omjouwingsbestân dat yn ’e tsjinst montearre is, in konfiguraasjebestân dat fan ’e host ôfbûn is, in label dat in token draacht, en in kommandoblok dat in wachtwurd befettet, reizgje allegear mei de útrôl boppe sels as de YAML skjin liket. In kaaier dy’t yn in fariabele mei in gerêststellende namme plakt is, is noch altyd in kaaier.

Hostpaden en tsjinstnammen lekken in twadde soarte ynformaasje. In thúsmapnamme, in ynterne hostnamme of in netwurkberik kinne in persoan of organisaasje identifisearje sûnder ien oanmeldgegevens te befetsjen, en dat kontekst is om deselde reden it fuortheljen wurdich.

In geheimferklearring is net it geheim

Compose-geheimobjekten skiede de ferklearring fan it materiaal: de tsjinst krijt in paad of in doel, en de ynhâld wennet earne oars. De ferklearring hâlde wylst it materiaal ferfongen wurdt, is meastentiids de juste ruil, want de beoardieler moat sjen dat in geheim bestiet en hoe’t it montearre is. Wat net oerlibje mei, is de ynhâld sels.

Labels en kommentaren fertsjinje deselde behanneling. In kommentaar dat seit hokker kluftpaad de produksjekaaier hâldt, fertelt in oanfaller wêr’t er sjen moat ek al befettet it gjin kaaier.

Hâld de foarm sadat it bestân noch diagnoaze docht

In ferwidering dy’t de netwurkmodus, de image-ferzje of de kapasiteitsynstellings fuorthellet, produsearret in bestân dêr’t nimmen mei debugge kin. Ferfang de gefoelige wearden en hâld de relaasjes: hokker tsjinst wat montearret, by hokker netwurk it him oanslút, hokker apparaat it nedich hat. Dat is it part dat in lêzer brûkt om in ûntbrekkende rûte of in net beskikber apparaat te ferklearjen. It is ek de ferzje dy’t in kollega fergelykje kin mei syn eigen wurkjende útrôl.

docker compose -f compose.yaml config > rendered.yaml
grep -nE 'PRIVATE_KEY|PASSWORD|TOKEN|PSK|PrivateKey|passphrase' rendered.yaml
wc -l rendered.yaml

Rôlje de ferwidere kopy net út as wie it it wurkjende orizjineel. It is in beskriuwing, en in beskriuwing dy’t bewurke is om feilich te lykjen, sil mislearje op manearen dy’t op konfiguraasjeflaters lykje.

As materiaal bleatlein is, ferfang it

It fuortheljen fan ’e taheaksel ferhellet net de kopyen dy’t oaren al makke hawwe, en spegels en caches hâlde har eigen. Brûk it yntrek- en ferfangingsproses fan ’e útjouwer foar alles wat lekt is, en bywurkje dan de útrôl. De folchoarder is wichtich, want earst ferfange en letter yntrekke lit in finster mei twa jildige oanmeldgegevens.

Yn stipe-triedden begjinne jo mei de krekte flater, de image-ferzje, de netwurkmodus en de iene net-geheime ynstelling dy’t der ta docht. Dy kombinaasje ferklearret in ûntbrekkend apparaat of in brutsen rûte folle faker as de kaaier.