সিক্রেট ম্যানেজমেন্ট ইন DevOps

১ · সিক্রেট কী এবং কেন হার্ডকোড করা বিপজ্জনক

সিক্রেটSecretসংবেদনশীল তথ্য (API কী, ডেটাবেস পাসওয়ার্ড, TLS প্রাইভেট কী, ক্লাউড ক্রেডেনশিয়াল) যা প্রকাশ পেলে সিস্টেমে অননুমোদিত অ্যাক্সেসের সুযোগ তৈরি করে। — API কী, ডেটাবেস পাসওয়ার্ড, TLS প্রাইভেট কী, ক্লাউড ক্রেডেনশিয়াল — এসব কখনোই সোর্স কোডে সরাসরি লেখা বা Git-এ কমিট হওয়া কোনো IaC/কনফিগ ফাইলে রাখা উচিত নয়। একবার একটি সিক্রেট ভুলবশত কমিট হয়ে গেলে, পরে সেই লাইন "মুছে ফেললেও" তা Git-এর ইতিহাসে (পুরনো কমিটে) চিরস্থায়ীভাবে থেকে যায় — যে কেউ রিপোজিটরির ইতিহাস দেখতে পারলে সেই সিক্রেট পেয়ে যাবে (cybersecurity কোর্সের secrets-scanning DevSecOps ধারণার সরাসরি প্রয়োগ এখানে)।

২ · ডেডিকেটেড সিক্রেট ম্যানেজমেন্ট সার্ভিস

সমস্যার সমাধান হলো একটি সিক্রেট ম্যানেজমেন্ট সার্ভিসSecrets Management Serviceএকটি ডেডিকেটেড সার্ভিস (Vault-স্টাইল, বা ক্লাউড-নেটিভ সিক্রেট ম্যানেজার) যা সিক্রেট এনক্রিপ্টেড রাখে, সূক্ষ্ম অ্যাক্সেস কন্ট্রোল দেয়, এবং স্বয়ংক্রিয় রোটেশন সমর্থন করে। ব্যবহার করা (উদাহরণ হিসেবে Vault-স্টাইল, বা যেকোনো ক্লাউড প্রোভাইডারের নেটিভ সিক্রেট ম্যানেজার — কনসেপ্ট প্রোভাইডার-নিরপেক্ষ)। এই সার্ভিসগুলো তিনটি মূল সুবিধা দেয় —

৩ · রানটাইমে সিক্রেট ইনজেকশন

অ্যাপ্লিকেশন সিক্রেট পায় এনভায়রনমেন্ট ভেরিয়েবল বা Kubernetes Secret (L30-এর সরাসরি সম্প্রসারণ) হিসেবে, রানটাইমে ইনজেক্ট হওয়া — সোর্স কোড শুধু জানে কোন এনভায়রনমেন্ট ভেরিয়েবল থেকে সিক্রেট পড়তে হবে, কিন্তু কোডের মধ্যে কখনো প্রকৃত মান লেখা থাকে না। এর ফলে একই কোড dev/staging/production-এ ভিন্ন ভিন্ন সিক্রেট ব্যবহার করে চলতে পারে, কোনো কোড পরিবর্তন ছাড়াই।

# একটি অ্যাক্সেস-কন্ট্রোলড সিক্রেট স্টোর সিমুলেশন (fake in-memory স্টোর)

secrets = {
    "db_password": {
        "value": "s3cr3t-db-p@ss",
        "allowed_services": ["order-service", "inventory-service"],
    },
    "payment_gateway_api_key": {
        "value": "pg-api-key-xyz789",
        "allowed_services": ["payment-service"],
    },
}

class AccessDeniedError(Exception):
    pass

def get_secret(name, requesting_service):
    secret = secrets.get(name)
    if secret is None:
        raise KeyError(f"সিক্রেট '{name}' খুঁজে পাওয়া যায়নি")
    if requesting_service not in secret["allowed_services"]:
        raise AccessDeniedError(
            f"'{requesting_service}' সার্ভিসের '{name}' সিক্রেট পড়ার অনুমতি নেই"
        )
    return secret["value"]

# অনুমোদিত অ্যাক্সেস — সফল
value = get_secret("db_password", "order-service")
print(f"order-service সফলভাবে db_password পড়ল: {value}")

# অননুমোদিত অ্যাক্সেস — প্রত্যাখ্যাত
try:
    get_secret("payment_gateway_api_key", "order-service")
except AccessDeniedError as e:
    print(f"অ্যাক্সেস প্রত্যাখ্যাত: {e}")