VPN Compose dosyası mı paylaşıyorsunuz? Sırları oluşturulmuş kopyadan kaldırın

Bir Compose dosyasını her paylaştığınızda iki artefakt vardır: yazdığınız ve bir aracın değişkenleri yerine koyduktan sonra oluşturduğu. İkincisi genellikle birinciden daha hassastır ve insanların okumadan sorun raporuna yapıştırdığı da odur. Yalnızca kaynak dosyayı inceliyorsanız yanlış belgeyi inceliyorsunuz.

Neyin kaldırılacağına karar vermeden önce her kopyanın neler içerebileceğini karşılaştırın.

Oluşturulmuş model başka bir belgedir

Compose ortam değişkenlerini çözer, geçersiz kılma dosyalarını birleştirir ve okuyucunun artık elle yazılmış değerlerden ayırt edemeyeceği etkin bir yapılandırma üretir. Kaynaktaki bir değişken adı gibi başvuru, çıktıda hesap belirtecinin kendisine dönüşür. Dosyayı tanılama için yararlı kılan yapı bu dönüşümden sağ çıkar; içinde hiç bulunmaması gereken her şey de sağ çıkar.

Dosyayı eklemeden önce kendiniz oluşturun ve o çıktıyı incelediğiniz artefakt olarak ele alın. Oluşturamıyorsanız neyi yayımlamak üzere olduğunuzu bilemezsiniz.

Sırlar anahtar alanından daha çok yerde durur

Açık olanla başlayın: özel anahtarlar, önceden paylaşılan anahtarlar, belirteçler, parolalar ve kimlik bilgisi içeren bağlantı URL'leri. Sonra dosyanın işaret ettiği her şeye bakın, çünkü başvuru bir kaldırma değildir. Hizmete bağlanan ortam dosyası, ana makineden bağlanan yapılandırma dosyası, belirteç taşıyan etiket ve parola içeren komut argümanı YAML temiz görünse bile dağıtımla birlikte gider. Rahatlatıcı adlı bir değişkene yapıştırılan anahtar hâlâ anahtardır.

Ana makine yolları ve hizmet adları ikinci tür bilgi sızdırır. Bir ev dizini adı, iç ana makine adı veya ağ aralığı tek bir kimlik bilgisi içermeden bir kişiyi ya da kuruluşu tanımlayabilir ve bu bağlam da aynı nedenle kaldırılmaya değer.

Bir sırrın bildirimi sırrın kendisi değildir

Compose sır nesneleri bildirimi malzemeden ayırır: hizmet bir yol veya hedef alır ve içerik başka bir yerde yaşar. Malzemeyi değiştirirken bildirimi korumak genellikle doğru takastır, çünkü gözden geçiren kişinin bir sırrın var olduğunu ve nasıl bağlandığını görmesi gerekir. Hayatta kalmaması gereken içeriğin kendisidir.

Etiketler ve yorumlar da aynı muameleyi hak eder. Üretim anahtarını hangi kasa yolunun tuttuğunu söyleyen bir yorum, anahtar içermese bile saldırgana nereye bakacağını söyler.

Dosya hâlâ tanı koyabilsin diye biçimi koruyun

Ağ modunu, imaj sürümünü veya yetenek ayarlarını kaldıran bir düzenleme, kimsenin hata ayıklayamayacağı bir dosya üretir. Hassas değerleri değiştirin ve ilişkileri koruyun: hangi hizmet neyi bağlıyor, hangi ağa katılıyor, hangi aygıta ihtiyaç duyuyor. Okuyucunun eksik bir rotayı veya kullanılamayan bir aygıtı açıklamak için kullandığı bölüm budur. Bir iş arkadaşının kendi çalışan dağıtımıyla karşılaştırabileceği sürüm de budur.

docker compose -f compose.yaml config > rendered.yaml
grep -nE 'PRIVATE_KEY|PASSWORD|TOKEN|PSK|PrivateKey|passphrase' rendered.yaml
wc -l rendered.yaml

Düzenlenmiş kopyayı çalışan orijinalmiş gibi dağıtmayın. Bu bir betimlemedir ve güvenli görünmesi için düzenlenmiş bir betimleme, yapılandırma hatası gibi görünen biçimlerde başarısız olur.

Malzeme açığa çıktıysa değiştirin

Eki kaldırmak, başkalarının zaten oluşturduğu kopyaları kaldırmaz; yansılar ve önbellekler kendi kopyalarını tutar. Sızan her şey için yayıncının iptal ve değiştirme sürecini kullanın, sonra dağıtımı güncelleyin. Sıra önemlidir, çünkü önce değiştirip sonra iptal etmek iki geçerli kimlik bilgisinin bulunduğu bir pencere bırakır.

Destek başlıklarında tam hatayla, imaj sürümüyle, ağ moduyla ve önemli olan tek sır olmayan ayarla başlayın. Bu bileşim, eksik bir aygıtı veya bozuk bir rotayı anahtardan çok daha sık açıklar.