Hizmet Hesapları için Güvenli Parola Oluşturma

Hizmet Hesapları için Güvenli Parola Üretimi

Hizmet hesapları, otomatikleştirilmiş süreçleri -- CI/CD pipeline'ları, veritabanı konektörleri, mikroservisler arası çağrıları -- doğrulamak için kullanılır. Bu hesapların kimlik bilgileri, insan parolalarından tamamen farklı kurallara ihtiyaç duyar.

Gereksinimler: Yüksek Entropi, Hatırlanabilirlik Yok

İnsan parolaları, güvenliği hatırlanabilirlikle dengeler. Hizmet hesaplarının böyle bir kısıtlaması yoktur. Hedef:

Komut satırında oluştur:

# 32 rastgele bayt → 64 karakterli hex dizisi (~128 bit entropi)
openssl rand -hex 32
# çıktı: a3f7b2c1d4e5f60789ab01cd23ef45...

# 32 rastgele bayt → 43 karakterli Base64 dizisi
openssl rand -base64 32
# çıktı: o/ez7LHk5fYHirsBzSPvRQ4m...

# /dev/urandom alternatifi
head -c 32 /dev/urandom | xxd -p -c 64

Ya da Parola Üretici ile maksimum uzunluk ve tüm karakter tipleri etkinleştirilmiş hızlı üretim için kullanın.

API Anahtarı vs Parola vs Token

Depolama: Asla Kodda

Kaynak kodundaki kimlik bilgileri sızdırılır. Periyot.

# KÖTÜ -- git'e taahhüt edildi
DB_PASSWORD="supersecret123"

# İYİ -- çalışma zamanında enjekte edildi
export DB_PASSWORD=$(aws secretsmanager get-secret-value \
  --secret-id prod/db/password \
  --query 'SecretString' --output text)

Bir secrets yöneticisi kullanın:

Otomatik Döndürme

Manuel döndürme gerçekleşmez. Otomatize edin:

AWS Secrets Manager bu işlemi yerel olarak Lambda döndürme fonksiyonları ile destekler. Vault dinamik kimlik bilgileri ile bunu yapar -- kimlik bilgileri talep üzerine oluşturulur ve otomatik olarak süresi dolur.

Git Koruması

# .gitignore
.env
.env.*
*.pem
*.key

# Önceden yükleme kancası: kimlik bilgileri taraması
# gitleaks, truffleHog veya git-secrets kullanın
gitleaks detect --source . --verbose

İlgili

Sonraki adim

Akisi Password Generator icinde calistirin ve trafik buyutmeden once baseline kaydedin.