Secrets Management

密钥管理

CI/CD 流水线的安全密钥管理实践，使用 Vault、AWS Secrets Manager 等工具。

目的

在 CI/CD 流水线中实现安全的密钥管理，避免硬编码敏感信息。

适用场景

• 存储 API 密钥和凭证
• 管理数据库密码
• 处理 TLS 证书
• 自动轮换密钥
• 实现最小权限访问

不适用场景

• 计划将密钥硬编码在源码管理中
• 无法保护密钥后端的访问安全
• 仅需要本地开发环境变量且无需共享

使用说明

1. 识别密钥类型、所有者和轮换需求。
2. 选择密钥后端和访问模型。
3. 集成 CI/CD 或运行时检索，遵循最小权限原则。
4. 验证轮换和审计日志。

安全准则

• 切勿将密钥提交到源码管理。
• 限制访问并记录密钥使用情况以便审计。

密钥管理工具

HashiCorp Vault

• 集中式密钥管理
• 动态密钥生成
• 密钥轮换
• 审计日志
• 细粒度访问控制

AWS Secrets Manager

• AWS 原生方案
• 自动轮换
• 与 RDS 集成
• CloudFormation 支持

Azure Key Vault

• Azure 原生方案
• HSM 支持的密钥
• 证书管理
• RBAC 集成

Google Secret Manager

• GCP 原生方案
• 版本管理
• IAM 集成

HashiCorp Vault 集成

配置 Vault

# 启动 Vault 开发服务器
vault server -dev

# 设置环境变量
export VAULT_ADDR='http://127.0.0.1:8200'
export VAULT_TOKEN='root'

# 启用密钥引擎
vault secrets enable -path=secret kv-v2

# 存储密钥
vault kv put secret/database/config username=admin password=secret

GitHub Actions 集成 Vault

name: Deploy with Vault Secrets

on: [push]

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v4

    - name: Import Secrets from Vault
      uses: hashicorp/vault-action@v2
      with:
        url: https://vault.example.com:8200
        token: ${{ secrets.VAULT_TOKEN }}
        secrets: |
          secret/data/database username | DB_USERNAME ;
          secret/data/database password | DB_PASSWORD ;
          secret/data/api key | API_KEY

    - name: Use secrets
      run: |
        echo "Connecting to database as $DB_USERNAME"
        # 使用 $DB_PASSWORD、$API_KEY

GitLab CI 集成 Vault

deploy:
  image: vault:latest
  before_script:
    - export VAULT_ADDR=https://vault.example.com:8200
    - export VAULT_TOKEN=$VAULT_TOKEN
    - apk add curl jq
  script:
    - |
      DB_PASSWORD=$(vault kv get -field=password secret/database/config)
      API_KEY=$(vault kv get -field=key secret/api/credentials)
      echo "Deploying with secrets..."
      # 使用 $DB_PASSWORD、$API_KEY

参考： 详见 references/vault-setup.md

AWS Secrets Manager

存储密钥

aws secretsmanager create-secret \
  --name production/database/password \
  --secret-string "super-secret-password"

在 GitHub Actions 中检索

- name: Configure AWS credentials
  uses: aws-actions/configure-aws-credentials@v4
  with:
    aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
    aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
    aws-region: us-west-2

- name: Get secret from AWS
  run: |
    SECRET=$(aws secretsmanager get-secret-value \
      --secret-id production/database/password \
      --query SecretString \
      --output text)
    echo "::add-mask::$SECRET"
    echo "DB_PASSWORD=$SECRET" >> $GITHUB_ENV

- name: Use secret
  run: |
    # 使用 $DB_PASSWORD
    ./deploy.sh

Terraform 集成 AWS Secrets Manager

data "aws_secretsmanager_secret_version" "db_password" {
  secret_id = "production/database/password"
}

resource "aws_db_instance" "main" {
  allocated_storage    = 100
  engine              = "postgres"
  instance_class      = "db.t3.large"
  username            = "admin"
  password            = jsondecode(data.aws_secretsmanager_secret_version.db_password.secret_string)["password"]
}

GitHub Secrets

组织/仓库密钥

- name: Use GitHub secret
  run: |
    echo "API Key: ${{ secrets.API_KEY }}"
    echo "Database URL: ${{ secrets.DATABASE_URL }}"

环境密钥

deploy:
  runs-on: ubuntu-latest
  environment: production
  steps:
  - name: Deploy
    run: |
      echo "Deploying with ${{ secrets.PROD_API_KEY }}"

参考： 详见 references/github-secrets.md

GitLab CI/CD 变量

项目变量

deploy:
  script:
    - echo "Deploying with $API_KEY"
    - echo "Database: $DATABASE_URL"

受保护和掩码变量

• 受保护：仅在受保护分支中可用
• 掩码：在任务日志中隐藏
• 文件类型：以文件形式存储

最佳实践

1. 切勿将密钥提交到 Git
2. 不同环境使用不同密钥
3. 定期轮换密钥
4. 实施最小权限访问
5. 启用审计日志
6. 使用密钥扫描（GitGuardian、TruffleHog）
7. 在日志中掩码密钥
8. 静态加密密钥
9. 尽可能使用短期令牌
10. 记录密钥需求

密钥轮换

使用 AWS 自动轮换

import boto3
import json

def lambda_handler(event, context):
    client = boto3.client('secretsmanager')

    # 获取当前密钥
    response = client.get_secret_value(SecretId='my-secret')
    current_secret = json.loads(response['SecretString'])

    # 生成新密码
    new_password = generate_strong_password()

    # 更新数据库密码
    update_database_password(new_password)

    # 更新密钥
    client.put_secret_value(
        SecretId='my-secret',
        SecretString=json.dumps({
            'username': current_secret['username'],
            'password': new_password
        })
    )

    return {'statusCode': 200}

手动轮换流程

1. 生成新密钥
2. 在密钥存储中更新密钥
3. 更新应用以使用新密钥
4. 验证功能正常
5. 撤销旧密钥

External Secrets Operator

Kubernetes 集成

apiVersion: external-secrets.io/v1beta1
kind: SecretStore
metadata:
  name: vault-backend
  namespace: production
spec:
  provider:
    vault:
      server: "https://vault.example.com:8200"
      path: "secret"
      version: "v2"
      auth:
        kubernetes:
          mountPath: "kubernetes"
          role: "production"

---
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: database-credentials
  namespace: production
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: vault-backend
    kind: SecretStore
  target:
    name: database-credentials
    creationPolicy: Owner
  data:
  - secretKey: username
    remoteRef:
      key: database/config
      property: username
  - secretKey: password
    remoteRef:
      key: database/config
      property: password

密钥扫描

Pre-commit Hook

#!/bin/bash
# .git/hooks/pre-commit

# 使用 TruffleHog 检查密钥
docker run --rm -v "$(pwd):/repo" \
  trufflesecurity/trufflehog:latest \
  filesystem --directory=/repo

if [ $? -ne 0 ]; then
  echo "❌ Secret detected! Commit blocked."
  exit 1
fi

CI/CD 密钥扫描

secret-scan:
  stage: security
  image: trufflesecurity/trufflehog:latest
  script:
    - trufflehog filesystem .
  allow_failure: false

参考文件

• references/vault-setup.md - HashiCorp Vault 配置
• references/github-secrets.md - GitHub Secrets 最佳实践

相关技能

• github-actions-templates - GitHub Actions 集成
• gitlab-ci-patterns - GitLab CI 集成
• deployment-pipeline-design - 流水线架构

使用限制

• 仅在任务明确匹配上述范围时使用本技能。
• 不要将输出视为环境特定验证、测试或专家评审的替代品。
• 如果缺少必要的输入、权限、安全边界或成功标准，请停下来寻求澄清。