如何向需要使用第三方服務的服務提供憑據

Question

我需要一些關於架構設計或最佳實踐方法的建議。 我有一項服務需要一些第三方服務的憑據。 Webapp 使用的我的服務當前將此憑據以加密模式保存在數據庫中。 WebApp 和 MyService 將通過 MessageQueue (RabbitMQ) 進行通信。

如何從 web 應用程序向我的服務提供這些憑據。 或者我應該完全改變設計以及如何改變？

提前致謝

KR帖木兒

Answer 1

這是一個復雜的領域，不同的人對如何做到這一點有不同的想法； 您的設計的問題在於，可以嗅探您的 web 應用程序和您的服務之間的流量的攻擊者可以訪問您的密鑰。 您的應用程序和服務之間也有緊密的耦合，以及在開發、質量保證和產品環境之間管理憑據的所有娛樂。

許多托管策略包括為此目的的“密鑰管理服務器”——例如，AWS 有https://aws.amazon.com/kms/ 。 我建議閱讀他們的用例。

另一個流行的解決方案是將密鑰存儲在環境變量中，並將它們作為構建/部署管道的一部分進行管理。

最后，一些框架（例如 Ruby on Rails）將這些細節存儲在憑證文件中，並具有在源代碼控制過程之外管理它們的工作流。