Как вы упомянули, использование паролей в экземплярах является абсолютной проблемой, если у вас их заметное количество. Он также менее безопасен, чем ключи SSH, которыми правильно управляют (хранятся в секрете). Очевидно, у вас возникнут проблемы с привязкой остальной части вашей автоматизации к некоторым учетным данным, которые доставляются по внешнему каналу к вашим инструментам автоматизации, поэтому, если вам действительно нужно настроить эти серверы для выполнения каких-либо действий, то вариант пароля по электронной почте в значительной степени отсутствует.
Я обычно использую разные ключи SSH для каждого приложения и этапа разработки (например, разработка, тестирование / постановка, производство), но тогда все внутри этой комбинации получает один и тот же открытый ключ для простоты управления. Такое разделение означает, что если у вас скомпрометирован один ключ, вам не нужно везде заменять открытый ключ, и, таким образом, минимизирует радиус взрыва этого события. Это также означает, что вы можете вращать их независимо, тем более что некоторые среды могут двигаться быстрее, чем другие.
В качестве последнего слова предупреждения не помещайте свой закрытый SSH-ключ в тот же репозиторий git, что и остальной код, и определенно не публикуйте закрытый SSH-ключ в общедоступном репозитории. Вы, вероятно, захотите изучить некоторые способы управления секретами, такие как Vault Hashicorp, если вы работаете в большой команде или, по крайней мере, распространение этих общих закрытых ключей по внешнему каналу, если они должны использоваться несколькими людьми.
person
ydaetskcoR
schedule
21.07.2016
