CredStashでSSLのパスフレーズ 問い合わせを無視してみた 

目次 ● 自己紹介 ● 概要 ● 問題点 ● CredStashとKMSについて ● 実装 ● おまけ ● まとめ 

自己紹介 Name：ユータ Occupation：SRE Twitter：@Y0u281 ※（オーでなくゼロです） note：https://note.com/tar28 →Qrunchに移行 https://yuta0128.qrunch.io/ 

概要 秘密鍵にパスフレーズが設定されているとApache再起動時に、 毎回パスフレーズを聞かれる 対応策でよく紹介されているのは以下２つ ● 秘密鍵のパスフレーズを解除 ● SSLPassPhraseDialogというディレクティブからパスフレーズを呼ぶ Passphrase.sh → echo “passphrase” デモ有 

問題点
 サーバ内の秘密鍵が丸見え or パスフレーズを平文で保存してしまう 

CredStash AWS KMS パスフレーズを暗号化して 外部に保存すればいい
 

CredStashとAWS KMSについて CredStash ● 認証情報の共有管理システム ● DynamoDBへ鍵を保存する ● Python製のコマンドツール ○ GoやRubyの亜種もあるらしい AWS KMS
 ● 暗号鍵の生成、管理ができるフルマ ネージド型サービス 
 

実装 

No content

DynamoDBテーブルからパスフレーズを 呼び出している SSLPassPhraseDialogでこのスクリプト を指定 デモ有 

再起動時にパスフレーズを聞かれること なく起動できた。 

おまけ Nginxではどうすればいいのか？ →ssl_password_fileというディレクティブがありま す 記法がApacheと異なるので注意！ ● exec:をつけない ● 最後にセミコロン必須 

認証情報は隠す まとめ 

より詳しい内容はこちらのQiita記 事を御覧ください。 credstashを用いてApacheのSSL秘密鍵のパスフレーズ問い合わせ無視できるようにしてみた https://qiita.com/Yuhta/items/647c3a11175e59ff7fc2 

ご静聴 ありがとうございました