1. 区别秘密和标识符

在容器环境下，秘密是指一旦暴露在未经授权的团体或实面子前，贵公司、客户或运用顺序将面临风险的任何信息。随着细叱变得更复杂，触及的秘密信息量随之添加，触及的风险也随之加大。系统中的不定要素越多，面临的风险就越大。

值得一提的是，并非一切信息都是秘密信息。一些信息(比如用户名和TLS证书)是标识符，需求有选择地加以共享。标识符并非完全没有风险，但其风险远低于秘密。但是，与标识符有关的密码和密钥应被视为秘密。

2. 树立信任圈

系统的某些部分可以完全信任(比如CPU、RAM、root用户或拥有适当安全策略的秘密管理工具)。系统的一些部分只能选择性地信任(比如被授予明白权限，以拜访受保护的某些秘密或S3等云效劳的员工)。最后，外部实体默许状况下不可信任。它们包括随机用户或WiFi热点。泄漏给这些实体的秘密会泄密，因此招致风险。

3. 深化了解信任链

秘密流经系统时，它们触及这些不同的实体。秘密所走的途径是决议秘密是安全还是已泄密的关键。每一步都是“一环”，全部环连起来就组成了“一条链”。片面深化了解整条链很重要。这样一来，你就可以树立信任链，确保只要信任圈内的实体才能拜访秘密。

4. 运用KMS加密数据

对秘密数据而言，光运用防火墙不够安全;受密码保护的数据库也不够安全。它们离完全泄密只要一步之遥。相反，需求的是可以在多个层面加密数据的密钥管理效劳(KMS)。你应该可以运用加密密钥加密整个文件，并运用不同的加密密钥加密该文件中的部分数据。

这样一来，你只能共享数据的特定部分，而不必让其他数据面临风险。这限制了潜在攻击的影响范围。但是，在本地环境创立和管理加密密钥很繁琐。假设运用云原生容器运用顺序，有必要运用基于云的加密效劳，比如AWS KMS或相似的替代方案。它们拥有初级功用，可以自动化并极大地控制加密密钥的创立和管理。

5. 常常轮换秘密

长期保持不变的秘密更有能够泄密。随着更多的用户拜访秘密，某人有能够处置不当，泄露给未经授权的实体。秘密可以经过日志缓和存数据泄显露去。它们可以共享用于调试;一旦调试完成，就不可更改或撤销。它们能够被黑客破解。由于一切这些缘由，秘密应常常轮换。

6. 自动创立密码

创立密码和拜访密钥的方式对其安全性至关重要。人们手动创立密码会带来灾难。据Troy Hunt宣称，85%的密码都不安全。消弭蹩脚密码的独一办法是，运用机器自动生成的密码，这些密码具有共同性，不易被破解。明天，大少数秘密管理工具都拥有密码自动生成这项默许功用。

7. 担任任地存储秘密

秘密管理工具对容器安全而言已变得不可或缺。它们的首要重心是避免秘密被保存在磁盘上、嵌入代码中，或许嵌入到秘密管理器本身之外的系统的任何部分。这是个文明成绩，很难在大团队中实施。但是有必要运用秘密工具来创立密码，并借助到期失效的令牌，运用异样的工具共享密码。

8. 发现未经授权的拜访

虽然你尽了最大的努力，但在某个时分，秘密还是能够会泄密。在这种状况下，你的一切先前方案将经受测试。第一步是尽早发现事情(这是你需求部署安全监控工具的缘由)。

你还应预备好制定方案，一旦发现泄密就迅速照应。假定你在泄密发作一小时后发现了状况。你能多快地制止拜访恶意用户或实体?在这里，片面控制系统中每个点的密码和经过沉思熟虑的架构必不可少。最后，需求更改系统中的一切密码，作为预防措施。这可以轻松完成吗?一旦一切密码更改，能不能通知合法用户、能不能立刻为他们授予拜访权限?万一系统宕机，密码管理器能否仍正常运转?

确保你可以发现泄密，并已制定了管理下面列出的一切考量要素的方案。

结论

容器为IT管理员和DevSecOps团队带来了新的安全应战。但是，假设了解潜在风险以及减轻这些风险的办法，你可以树立起更牢靠、简直万无一失的安全机制。

原文标题：8 Best Practices for Container Secrets Management，作者：Twain Taylor

【51CTO译稿，协作站点转载请注明原文译者和出处为51CTO.com】

【编辑引荐】

历时3年，美图片面容器化踩过的坑

Chrome OS 开发者版现可备份和恢复 Linux 容器

部署容器时要思索的6个关键要素

(责任编辑：admin)