Телеграмм чат группы kubernetes

у тебя переменная с каким-нибудь pg conn string нужна только в момент установки соединения, дальше оно поддерживается и все ) реквизиты больше не нужны

а как сделать так, чтобы имея доступ к контейнер и на ноду, нельзя было повторно вытащить условный pg conn string из волта?

источник

13:43пожаловаться #6

GG

George Gaál in Kubernetes — русскоговорящее сообщество

это интересный вопрос ) я себе это вижу так, что у тебя волт доступен не с ноды, а из контейнера - это можно нарезать теми же файрволлами

источник

13:45пожаловаться #7

GG

George Gaál in Kubernetes — русскоговорящее сообщество

насчет контейнера - у тебя в нем нет волт клиента

источник

13:46пожаловаться #8

GG

George Gaál in Kubernetes — русскоговорящее сообщество

поэтому ты в нем не вытащишь pg conn string повторно. И в нем vault клиенту взяться неоткуда, как и курлу

источник

13:46пожаловаться #9

GG

George Gaál in Kubernetes — русскоговорящее сообщество

ну и в конце-концов ты можешь волт сынтегрировать с кубом так, что у тебя только контейнеры с определенной меткой смогут получать определенные секреты

источник

13:47пожаловаться #10

GG

George Gaál in Kubernetes — русскоговорящее сообщество

СОСУРИТИ

источник

13:47пожаловаться #11

GG

George Gaál in Kubernetes — русскоговорящее сообщество

черт, мне срочно надо становиться devsecops

источник

13:47пожаловаться #12

TL

Timofey Larkin in Kubernetes — русскоговорящее сообщество

George Gaál

это интересный вопрос ) я себе это вижу так, что у тебя волт доступен не с ноды, а из контейнера - это можно нарезать теми же файрволлами

Тут нужен механизм подписи запроса. Типа "я, контейнер такой-то, с контрольной суммой такой-то подписываю секретным ключом запрос в волт и он мне отдаёт то, что мне надо". Злоумышленник в лучшем случае сможет только для точно такого-же контейнера запросить ключи из волта, но если контейнер грамотно спроектирован, ему это не поможет.

источник

13:47пожаловаться #13

GG

George Gaál in Kubernetes — русскоговорящее сообщество

Timofey Larkin

Тут нужен механизм подписи запроса. Типа "я, контейнер такой-то, с контрольной суммой такой-то подписываю секретным ключом запрос в волт и он мне отдаёт то, что мне надо". Злоумышленник в лучшем случае сможет только для точно такого-же контейнера запросить ключи из волта, но если контейнер грамотно спроектирован, ему это не поможет.

Ну, я выше ответил

источник

13:48пожаловаться #14

GG

George Gaál in Kubernetes — русскоговорящее сообщество

В конце концов

источник

13:48пожаловаться #15

GG

George Gaál in Kubernetes — русскоговорящее сообщество

Зачем нужен волт ?

источник