Qed taqsam fajl Compose tal-VPN? Neħħi s-sigrieti mill-kopja rrenderjata

Kull darba li taqsam fajl Compose jeżistu żewġ artefatti: dak li ktibt u dak li għodda tirrenders wara li tibdel il-varjabbli. It-tieni spiss ikun aktar sensittiv mill-ewwel, u huwa dak li n-nies ipejjstu f’rapport ta’ problema mingħajr ma jaqrawh. Jekk tirrevedi biss il-fajl tas-sors, tkun qed tirrevedi d-dokument żbaljat.

Qabbel x’jista’ jkun fih kull kopja qabel tiddeċiedi x’għandek tneħħi.

Il-mudell irrenderjat huwa dokument ieħor

Compose issolvi l-varjabbli tal-ambjent, tgħaqqad il-fajls ta’ sostituzzjoni u tipproduċi konfigurazzjoni effettiva li l-qarrej ma jibqax jista’ jiddistingwiha minn valuri miktuba bl-idejn. Referenza bħal isem ta’ varjabbli fis-sors issir it-token tal-kont innifsu fil-ħruġ. L-istruttura li tagħmel il-fajl utli għad-dijanjosi tgħaddi minn dik it-trasformazzjoni; tgħaddi minnha wkoll kull ma qatt ma kellu jkun fih.

Irrenders il-fajl int stess qabel ma tħaddnu u ittratta dak il-ħruġ bħala l-artefatt li qed tirrevedi. Jekk ma tistax tirrenders, ma tistax tkun taf x’qed tippubblika.

Is-sigrieti jinsabu f’aktar postijiet mill-qasam taċ-ċavetta

Ibda mill-ovvju: ċwievet privati, ċwievet maqsuma minn qabel, tokens, passwords u URLs tal-konnessjoni li jinkorporaw kredenzjali. Imbagħad ħares lejn kull ma l-fajl jindika, għax referenza mhix tħassir. Fajl tal-ambjent inmuntat fis-servizz, fajl ta’ konfigurazzjoni marbut mill-host, tikketta li ġġorr token u argument tal-kmand li jinkludi password kollha jivvjaġġaw mal-iskjerament anki meta l-YAML jidher nadif. Ċavetta mpejjsta f’varjabbli b’isem li jserraħ il-qalb għadha ċavetta.

Il-mogħdijiet tal-host u l-ismijiet tas-servizzi jnixxu t-tieni tip ta’ informazzjoni. Isem ta’ direttorju tad-dar, isem tal-host intern jew firxa tan-netwerk jistgħu jidentifikaw persuna jew organizzazzjoni mingħajr ma jkun fihom ebda kredenzjali, u dak il-kuntest jistħoqqlu jitneħħa għall-istess raġuni.

Id-dikjarazzjoni ta’ sigriet mhijiex is-sigriet

L-oġġetti tas-sigriet ta’ Compose jifirdu d-dikjarazzjoni mill-materjal: is-servizz jirċievi mogħdija jew mira, u l-kontenut jgħix x’imkien ieħor. Li żżomm id-dikjarazzjoni waqt li tibdel il-materjal normalment hija l-bdil it-tajjeb, għax ir-reviżur irid jara li sigriet jeżisti u kif hu muntat. Dak li m’għandux jibqa’ huwa l-kontenut innifsu.

It-tikketti u l-kummenti jistħoqqilhom l-istess trattament. Kumment li jgħid liema mogħdija tal-kaxxaforti żżomm iċ-ċavetta tal-produzzjoni jgħid lil attakkant fejn għandu jħares anki jekk ma jkun fih ebda ċavetta.

Żomm il-forma biex il-fajl xorta jagħmel dijanjosi

Tħassir li jneħħi l-mod tan-netwerk, il-verżjoni tal-immaġni jew is-settings tal-kapaċità jipproduċi fajl li ħadd ma jista’ jagħmel debug bih. Issostitwixxi l-valuri sensittivi u żomm ir-relazzjonijiet: liema servizz jimmonta xiex, liema netwerk jingħaqad miegħu, liema apparat jeħtieġ. Dik hija l-parti li l-qarrej juża biex jispjega rotta neqsin jew apparat li mhux disponibbli. Dik hija wkoll il-verżjoni li kollega jista’ jqabbel mal-iskjerament tiegħu li jaħdem.

docker compose -f compose.yaml config > rendered.yaml
grep -nE 'PRIVATE_KEY|PASSWORD|TOKEN|PSK|PrivateKey|passphrase' rendered.yaml
wc -l rendered.yaml

Tiskjerax il-kopja redatta bħallikieku kienet l-oriġinal li jaħdem. Hija deskrizzjoni, u deskrizzjoni editjata biex tidher sigura se tfalli b’modi li jidhru bħal bugs tal-konfigurazzjoni.

Jekk il-materjal ġie espost, ibdlu

It-tneħħija tal-anness ma tneħħix il-kopji li oħrajn diġà għamlu, u l-mirrors u l-caches iżommu tagħhom. Uża l-proċess ta’ revoka u sostituzzjoni tal-emittent għal kull ma nixxa, imbagħad aġġorna l-iskjerament. L-ordni tiswa, għax tissostitwixxi l-ewwel u tirrevoka wara tħalli tieqa b’żewġ kredenzjali validi.

Fil-ħjut ta’ appoġġ, ibda bl-iżball eżatt, il-verżjoni tal-immaġni, il-mod tan-netwerk u l-unika setting mhux sigrieta li tiswa. Dik il-kombinazzjoni tispjega apparat neqsin jew rotta miksura ħafna aktar spiss miċ-ċavetta.