Terraform における秘匿情報管理 / Credentials management in Terraform

Terraform ʹ͓͚Δൿಗ৘ใ؅ཧ Rettyגࣜձࣾ Yuya Koda KyotoLT (Online) 2021/08/27

ࣗݾ঺հ • ໊લ ◦ ޾ా༏࠸ ͜͏ͩΏ͏΍ • ͓࢓ࣄ ◦
ΠϯϑϥΤϯδχΞ • ژ౎ͷ޷͖ͳ͓ళ ◦ ڕՏ؛ٶ෢ ◦ Ұ੓ ◦ ,VSBTV • ιʔγϟϧ ◦ 5XJUUFS!QPOLJP@P

Terraform ͷൿಗ৘ใ؅ཧͲ͏ͯ͠·͔͢ʁ

ͳΜͷ࿩ʁ 3%4ͷύεϫʔυ΍4FDSFUT.BOBHFSʹ֨ೲ͢Δ༷ʑͳൿಗ৘ใΛ5FSSBGPSNͰ ѻ͍͍ͨ࣌ʹͲ͏͢Δ͔ʁ

ൿಗ৘ใͷ؅ཧํ๏ • ؀ڥม਺ 5'@7"3@IPHF ͷ࢖༻ ◦ ൿಗ৘ใͦͷ΋ͷͷόʔδϣϯ؅ཧ͸ఘΊΔ • UGWBSTͷ࢖༻ ◦
HJUJHOPSFʹॻ͍ͯίϛοτ͔Β֎͢ ͜ͷ৔߹΋όʔδϣϯ؅ཧ͸ఘΊ ◦ ԿΒ͔ͷํ๏Ͱ҉߸Խͯ͠ UGWBSTFODSZQUΛίϛοτ͢Δ • )BTIJ$PSQ7BVMUΛ࢖͏ ৭ʑͳ؅ཧํ๏͕͋Γ·͢Ͷ

AGWA/git-crypt Λ࢖͏ύλʔϯ "(8"HJUDSZQUΛ࢖༻ͯ͠ UGWBSTϑΝΠϧΛ҉߸Խ͢Δํ๏Ͱ͢ɻ 1SPT • ҉߸Խ͞ΕΔͷͰίϛοτʹؚΊΔ͜ͱ͕Ͱ͖Δ ◦ ౰વίϛοτΛ໭ͤ͹લͷ಺༰ʹͳΔ •
UGWBSTͷϑΝΠϧ໊ͷ··҉߸Խ͞ΕΔͷͰίϛοτ͠๨Εͳ͍ ◦ UGWBSTFODSZQUͳϑΝΠϧͰ͸ͳ͘ΦϦδφϧͷ UGWBSTΛίϛοτ͢Δ ◦ Ұ౓ઃఆ͢Ε͹উखʹ҉߸Խͯ͘͠Ε·͢ $POT • ݤͷ؅ཧ͕໘౗ ◦ ݤ͸ϝϯόʔͰڞ༗͢ΔͳͲʜ • $*͔Β࢖͏ͷ͕େม ◦ $*ʹݤΛ͋͛ͳ͍ͱ͍͚ͳ͍

mozilla/sops Λ࢖͏ύλʔϯ "84,.4΍($1,.4ͳͲΛ࢖༻ͯ͠ൿಗ৘ใΛ҉߸ԽͰ͖ΔNP[JMMBTPQTΛ࢖͏ํ๏Ͱ͢ɻ 1SPT • ҉߸Խ͞ΕΔͷͰίϛοτʹؚΊΔ͜ͱ͕Ͱ͖Δ • 7BMVFͷΈͰ,FZ͸҉߸Խ͞Εͳ͍ ◦ த਎Λ(JU)VC্ͰݟΕΔ
• *".ͳͲͰݖݶ؅ཧՄೳ ◦ 㲈$*͔Βѻ͍΍͍͢ $POT • )$-ʹରԠ͍ͯ͠ͳ͍ʂʂ ◦ ZBNMFODPEF ͱ͔͢Ε͹ʜ ◦ DBSMQFUUUFSSBGPSNQSPWJEFSTPQT΋͋Δ • ͪΐͬͱ͚͓͕͔͔ͩۚΔ

AWS KMS Λ࢖͏ύλʔϯ "84,.4ͱ"84$-*ͷFODSZQUίϚϯυΛ࢖ͬͯ UGWBSTΛ҉߸Խ͢Δํ๏Ͱ͢ɻ 1SPT • ҉߸Խ͞ΕΔͷͰίϛοτʹؚΊΔ͜ͱ͕Ͱ͖Δ • HJUDSZQU͔Β৐Γ׵͑΍͍͢
• *".ͳͲͰݖݶ؅ཧՄೳ ◦ 㲈$*͔Βѻ͍΍͍͢ $POT • ҉߸ԽͰ͖ΔϑΝΠϧͷ࠷େ௕͕ݫ͍͠ ◦ ରশݤͰ΋࠷େόΠτ ◦ ͨ͘͞ΜγʔΫϨοτ͕͋Δͱຒ·Δ͜ͱ΋͋Δ • ͪΐͬͱ͚͓͕͔͔ͩۚΔ

AWS Secrets Manager Λ࢖͏ύλʔϯ 4FDSFUT.BOBHFSʹ UGWBSTͷத਎ΛೖΕͯ"84$-*ͷHFUTFDSFUWBMVFͰऔͬͯ͘Δํ๏Ͱ͢ɻ 1SPT • ࠷େ௕͕ݱ࣮తʹ໰୊ʹͳΔαΠζͰ͸ͳ͍ ◦
όΠτ • HJUDSZQUͳͲ͔ΒҠߦ͠΍͍͢ • *".ͳͲͰݖݶ؅ཧՄೳ ◦ 㲈$*͔Βѻ͍΍͍͢ $POT • ൿಗ৘ใͦͷ΋ͷͷ؅ཧΛผͰ΍Δඞཁ͕͋Δ ◦ 4FDSFUT.BOBHFSʹόʔδϣϯػೳ͸͋Δ ▪ ͦ͏͡Όͳ͍ײ͕͋ΔͷͰύεϫʔυYMTY͕ඞཁͦ͏ʜ

·ͱΊ

·ͱΊ • ݤͷ؅ཧ͕ΊΜͲ͍͘͞ͷͰ*".ͳͲʹҕৡͰ͖Δ΍Γํ͕ྑͦ͞͏ ◦ NP[JMMBTPQT ,.4 4FDSFUT.BOBHFS ◦ $*࢖͏৔߹͸ඞਢʹͳ͖ͬͯͦ͏ •
৔߹ʹΑͬͯ͸؀ڥม਺࢖͏ύλʔϯ΋ΞϦ ◦ ྫ͑͹4BB4ͷQSPWJEFSͳͲͰ࢖͏ൿಗ৘ใ͕গͳ͍৔߹

Terraform における秘匿情報管理 / Credentials management i...

Terraform における秘匿情報管理 / Credentials management in Terraform

YuyaKoda PRO

More Decks by YuyaKoda

Other Decks in Technology

Featured

Transcript

Terraform ʹ͓͚Δൿಗ৘ใ؅ཧ Rettyגࣜձࣾ Yuya Koda KyotoLT (Online) 2021/08/27

ࣗݾ঺հ • ໊લ ◦ ޾ా༏࠸ ͜͏ͩΏ͏΍ • ͓࢓ࣄ ◦

Terraform ͷൿಗ৘ใ؅ཧͲ͏ͯ͠·͔͢ʁ

ͳΜͷ࿩ʁ 3%4ͷύεϫʔυ΍4FDSFUT.BOBHFSʹ֨ೲ͢Δ༷ʑͳൿಗ৘ใΛ5FSSBGPSNͰ ѻ͍͍ͨ࣌ʹͲ͏͢Δ͔ʁ

ൿಗ৘ใͷ؅ཧํ๏ • ؀ڥม਺ 5'@7"3@IPHF ͷ࢖༻ ◦ ൿಗ৘ใͦͷ΋ͷͷόʔδϣϯ؅ཧ͸ఘΊΔ • UGWBSTͷ࢖༻ ◦

AGWA/git-crypt Λ࢖͏ύλʔϯ "(8"HJUDSZQUΛ࢖༻ͯ͠ UGWBSTϑΝΠϧΛ҉߸Խ͢Δํ๏Ͱ͢ɻ 1SPT • ҉߸Խ͞ΕΔͷͰίϛοτʹؚΊΔ͜ͱ͕Ͱ͖Δ ◦ ౰વίϛοτΛ໭ͤ͹લͷ಺༰ʹͳΔ •

mozilla/sops Λ࢖͏ύλʔϯ "84,.4΍($1,.4ͳͲΛ࢖༻ͯ͠ൿಗ৘ใΛ҉߸ԽͰ͖ΔNP[JMMBTPQTΛ࢖͏ํ๏Ͱ͢ɻ 1SPT • ҉߸Խ͞ΕΔͷͰίϛοτʹؚΊΔ͜ͱ͕Ͱ͖Δ • 7BMVFͷΈͰ,FZ͸҉߸Խ͞Εͳ͍ ◦ த਎Λ(JU)VC্ͰݟΕΔ

AWS KMS Λ࢖͏ύλʔϯ "84,.4ͱ"84$-*ͷFODSZQUίϚϯυΛ࢖ͬͯ UGWBSTΛ҉߸Խ͢Δํ๏Ͱ͢ɻ 1SPT • ҉߸Խ͞ΕΔͷͰίϛοτʹؚΊΔ͜ͱ͕Ͱ͖Δ • HJUDSZQU͔Β৐Γ׵͑΍͍͢

AWS Secrets Manager Λ࢖͏ύλʔϯ 4FDSFUT.BOBHFSʹ UGWBSTͷத਎ΛೖΕͯ"84$-*ͷHFUTFDSFUWBMVFͰऔͬͯ͘Δํ๏Ͱ͢ɻ 1SPT • ࠷େ௕͕ݱ࣮తʹ໰୊ʹͳΔαΠζͰ͸ͳ͍ ◦

·ͱΊ

·ͱΊ • ݤͷ؅ཧ͕ΊΜͲ͍͘͞ͷͰ".ͳͲʹҕৡͰ͖Δ΍Γํ͕ྑͦ͞͏ ◦ NP[JMMBTPQT ,.4 4FDSFUT.BOBHFS ◦ $࢖͏৔߹͸ඞਢʹͳ͖ͬͯͦ͏ •