#node.js #backend #secretsmanager
Вопрос:
В настоящее время я погружаюсь в секретное управление в процессе разработки. Моя идея состоит в том, чтобы использовать секретный инструмент управления, такой как Vault от HashiCorp, для хранения всех моих секретов.
Вот мой пример использования: клиент создал ключ API Vimeo, который будет храниться в хранилище. Я работаю в небольшой команде и хотел бы поделиться этим секретом со своим коллегой. Во время разработки им необходимо использовать этот ключ, поэтому они устанавливают этот ключ в качестве переменной среды. Позже они будут уволены (например).
Проблема в том, что я могу отозвать доступ к этому ключу в хранилище, но у них все еще есть значение токена Vimeo, потому что они использовали его во время разработки.
Как вы справляетесь с этим?
Комментарии:
1. Создайте прокси-сервер и создайте
generateKey()API. Прокси-сервер имеет собственный механизм генерации токенов и возвращает новый токен, действительный в течениеxнескольких минут. В вашем приложении в режиме разработки ваше приложение всегда будет указывать на этот прокси-сервер, а не на vimeo напрямую.. Таким образом, прокси-сервер будет единственным, у которого есть оригинальный ключ? . Разработчикам нужно генерировать ключ, например, один раз в день/неделю ? .