【.com快译】机密管理是容器安全的重要组成部分。在本文中，我们描述了几种管理机密（即密码、API密钥、令牌等）的良好实践，以减轻容器安全风险和漏洞。1.区分秘密和标识符在容器的上下文中，秘密是任何信息，如果暴露给未经授权的个人或实体，会使您的公司、客户或应用程序面临风险。随着系统变得越来越复杂，涉及的秘密信息量增加，所涉及的风险也随之增加。系统中的不确定因素越多，面临的风险就越大。值得一提的是，并非所有信息都是机密信息。一些信息，例如用户名和TLS证书，是标识符，需要有选择地共享。标识符并非完全没有风险，但它们的风险远低于秘密。但是，与标识符相关联的密码和密钥应视为机密。2.建立信任圈系统的某些部分可以完全信任（例如CPU、RAM、root用户或具有适当安全策略的秘密管理工具）。系统的某些部分只能有选择地信任（例如被授予明确权限以访问某些受保护机密或S3等云服务的员工）。默认情况下不信任外部实体。它们包括随机用户或WiFi热点。向这些实体透露的秘密会受到损害，因此存在风险。3.深入了解在系统中流动时涉及这些不同实体的信任秘密链。秘密采用的路径是确定秘密是否安全或泄露的关键。每一步都是一个“环节”，所有的环节连接起来就形成了一个“链条”。对整个链条有全面深入的了解很重要。通过这种方式，您可以建立信任链，确保只有信任圈内的实体才能访问秘密。4、使用KMS加密数据对于机密数据，仅靠防火墙是不够安全的；也不是受密码保护的数据库。他们离完全披露只有一步之遥。取而代之的是可以在多个级别加密数据的密钥管理服务(KMS)。您应该能够使用加密密钥加密整个文件，并使用不同的加密密钥加密该文件中的部分数据。这样，您就可以只共享数据的特定部分，而不会使其余部分面临风险。这限制了潜在威胁的范围。但是，在本地创建和管理加密密钥非常麻烦。如果使用云原生容器应用程序，则有必要使用基于云的加密服务，例如AWSKMS或类似的替代方案。它们具有高级功能，可以自动化并极大地控制加密密钥的创建和管理。5.频繁轮换的秘密如果长期保持不变，更容易被泄露。随着越来越多的用户访问秘密，有人可能会对它们进行不当处理并将它们泄露给未经授权的实体。秘密可能会通过日志和缓存数据泄露。它们可以共享用于调试；一旦调试完成，它们就无法更改或撤消。它们可以被黑客破解。由于所有这些原因，秘密应该经常轮换。6.自动创建密码密码和访问密钥的创建方式对其安全性至关重要。手动创建密码的人可能会带来灾难。根据TroyHunt的说法，85%的密码都是不安全的。消除错误密码的方法是使用机器生成的唯一且难以破解的密码。当今大多数秘密管理工具都将自动生成密码作为默认功能。7.负责任地存储机密机密管理工具已成为容器安全不可或缺的一部分。他们的主要重点是防止秘密保存在磁盘上、嵌入代码中或嵌入系统的任何部分而不是秘密管理器本身。这是一个很难在大型团队中实施的文化问题。但是，需要使用秘密工具来创建密码，并在过期令牌的帮助下使用相同的工具来共享密码。8.发现未经授权的访问尽管您尽了最大的努力，但在某些时候，秘密还是有可能被泄露。在这种情况下，您之前的所有计划都将受到考验，以便及早发现事件（这就是为什么您需要部署安全监控工具）。如果发现违规行为，您还应该准备好快速响应计划。假设您是在泄漏发生一小时后才知道情况的。您可以多快禁止对恶意用户或实体的访问？密码和用于完全控制系统中每个点的深思熟虑的体系结构在这里是必不可少的。作为预防措施，系统上的所有密码都需要更改。这能轻易实现吗？一旦更改了所有密码，是否可以立即通知合法用户并授予访问权限？在系统中断的情况下，密码管理器是否仍然有效？确保您可以发现漏洞并制定计划管理上面列出的所有注意事项的计划。结论容器为IT管理员和DevSecOps团队带来了新的安全挑战。但是，如果您了解潜在风险和减轻风险的方法，则可以构建更可靠且几乎万无一失的安全机制。原标题：容器机密管理的8个最佳实践，作者：TwainTaylor
