もう「クレデンシャルください」なんて言わせない

もう「クレデンシャルください」なんて言わせない 2018.07.21 Osaka RubyKaigi 01 LT @zaru

@zaru 株式会社ベーシック CTO

http://zaru.theshop.jp/

リモート OK https://basicinc.jp/enjoy-hacking

好きな Ruby メソッド Enumerable#cycle switch = %w(on off).cycle switch.next #=>
on switch.next #=> off switch.next #=> on

フォームオブジェクトと ActiveModel

もう「クレデンシャルください」なんて言わせない

みなさん、Rails で秘匿情報の管理どうしてますか？

こんなことありませんか？

プロジェクトに新しくプログラマがジョインした

「.env ください」「アクセスキーください」

つらみその都度、手で渡すのが面倒もらう方も面倒くさい秘匿情報の渡し方に神経を使う

こんなことありませんか？

開発をしていて環境変数を追加した

「デプロイ前に環境変数をサーバへ追加します」「デプロイ前に .env.production 修正します」「Ansible でサーバへ環境変数を追加します」

つらみデプロイフローが煩雑マージ以外に気を遣う部分があるデプロイ失敗チャレンジ感手順をミスるとデプロイ失敗する

僕たちは秘匿情報や環境変数をどのように管理すれば良いのか

救世主？！ Rails5.2 から Credentials 導入

Credentials とは秘匿情報を1 つのファイルで管理するよマスターキーで秘匿情報を暗号化・復号 config/master.key or
RAILS_MASTER_KEY Git で管理できるのでチームで共有しやすい

最高か？！

つらみ暗号化すると構造を維持してないので中身がわからないコードレビューがやりにくいマスターキーが必要結局マスターキー
の管理をどうしようという悩みがある

解決

(AWS | GCP) KMS + yaml_vault

thanks @joker1007

何が嬉しいのか YAML の構造を保ったまま value だけ暗号化するコードレビューがやりやすいデプロイ時にファイル展開ではなくメモリ展開できるサー
バに物理ファイルで秘匿情報を展開しなくて済む

マスターキーではなく IAM で開発者毎のクレデンシャルを渡せば OK 開発者自身に管理してもらえる AWS EC2 にロー
ルを付与すればマスターキーなしに復号できる煩わしいマスターキーを管理せずに済む

最高か？！

Heroku は？ AWS API Key があればどこでも使えるので問題はない問題はないが、Heroku アサインユーザであれば Con
g vars 見れるのでキーが見えちゃう Enterprise なら細かいアクセス制限できる…？いい方法があれば教えてください

もう「クレデンシャルください」なんて言わせない

もう「クレデンシャルください」なんて言わせない

zaru

More Decks by zaru

Other Decks in Technology

Featured

Transcript