Giới thiệu

Quản lý hạ tầng đám mây bằng mã (Infrastructure as Code - IaC) đã trở thành xu hướng phổ biến trong các tổ chức công nghệ hiện đại. Tuy nhiên, một trong những vấn đề lớn nhất mà các nhà phát triển phải đối mặt là bảo mật thông tin nhạy cảm như mật khẩu và khóa truy cập, thường bị lưu trữ trong các file mà bất kỳ ai có quyền truy cập đều có thể xem. Việc này tạo ra những rủi ro bảo mật nghiêm trọng.

Với phiên bản Terraform v1.10, tính năng "tài nguyên tạm thời" đã được giới thiệu nhằm giải quyết vấn đề này bằng cách sử dụng thông tin nhạy cảm một cách tạm thời mà không lưu trữ chúng vĩnh viễn. Trong bài viết này, chúng ta sẽ khám phá cách công ty giả tưởng MyCoCo đã chuyển mình từ việc không đạt yêu cầu bảo mật đến việc tuân thủ tiêu chuẩn SOC 2 bằng cách loại bỏ tất cả thông tin nhạy cảm khỏi các file hạ tầng của họ.

Tóm tắt

• Vấn đề: Các file trạng thái của Terraform lưu trữ mật khẩu cơ sở dữ liệu, khóa API và chứng chỉ ở dạng văn bản thuần, tạo ra rủi ro bảo mật và tuân thủ nghiêm trọng.
• Giải pháp: Tài nguyên tạm thời trong Terraform v1.10 chỉ tồn tại trong quá trình thực thi và không bao giờ được ghi vào các file trạng thái hay kế hoạch. Chúng có vòng đời duy nhất: mở → sử dụng → đóng.
• Tác động: MyCoCo đã chuyển mình từ việc không đạt yêu cầu bảo mật do thông tin nhạy cảm bị lộ đến việc đạt tiêu chuẩn SOC 2 bằng cách loại bỏ hoàn toàn dữ liệu nhạy cảm khỏi các file trạng thái. Không còn thông tin nhạy cảm trong trạng thái, trải nghiệm phát triển được cải thiện và quy trình phục hồi dữ liệu trở nên đơn giản hơn.
• Triển khai chính: Sử dụng "aws_secretsmanager_secret_version" tạm thời để lấy bí mật và tham số "secret_string_wo" (chỉ ghi) để lưu trữ mà không cần duy trì trạng thái.
• Kết luận: Nếu bạn đang lưu trữ thông tin nhạy cảm trong các file trạng thái của Terraform, tài nguyên tạm thời không phải là tùy chọn - mà là điều cần thiết cho bảo mật doanh nghiệp.

Thách thức: Cú đánh thức về bảo mật của MyCoCo

MyCoCo bắt đầu giống như nhiều công ty công nghệ - hai kỹ sư DevOps quản lý hạ tầng cho một startup đang phát triển. Khi họ mở rộng từ 5 lên 50 kỹ sư, việc sử dụng Terraform của họ đã tăng nhanh chóng. Họ tự hào về cách tiếp cận IaC, với mọi thứ được phiên bản hóa đúng cách và các file trạng thái được lưu trữ an toàn trong một bucket S3 mã hóa.

Rồi một cuộc kiểm tra tuân thủ đến.

"Các file trạng thái Terraform của bạn chứa mật khẩu cơ sở dữ liệu ở dạng văn bản thuần," nhà tư vấn bảo mật thông báo trong quá trình chuẩn bị SOC 2 của họ. "Bất kỳ ai có quyền truy cập vào backend trạng thái của bạn đều có thể xem mọi thông tin xác thực cơ sở dữ liệu, token API và khóa riêng mà bạn quản lý."

Nhóm MyCoCo đã bị sốc. Họ đã tập trung vào việc mã hóa các file trạng thái khi nghỉ ngơi và hạn chế quyền truy cập vào bucket S3, nhưng họ chưa bao giờ xem xét những gì bên trong những file được mã hóa đó. Một cuộc điều tra nhanh chóng đã tiết lộ quy mô:

• Mật khẩu cơ sở dữ liệu cho các phiên bản PostgreSQL và Redis
• Khóa ký JWT cho xác thực
• Khóa riêng của chứng chỉ SSL
• Các token API bên thứ ba cho dịch vụ giám sát
• Khóa SSH cho quyền truy cập vào máy chủ bastion

Thậm chí tệ hơn, quy trình phục hồi thảm họa của họ bao gồm việc sao chép các file trạng thái sang một khu vực phụ, và hệ thống CI/CD của họ tải các file trạng thái xuống các runner cho mỗi lần triển khai. Mỗi bản sao đều chứa cùng một dữ liệu nhạy cảm.

Những nỗ lực ban đầu để giải quyết vấn đề này đều thất bại. Tham số sensitive chỉ ẩn đầu ra CLI - dữ liệu vẫn được ghi vào các file trạng thái. Các công cụ quản lý bí mật bên ngoài chứng minh là quá phức tạp để tích hợp với quy trình hiện tại.

Hạn chót kiểm tra đang đến gần, và MyCoCo cần một giải pháp để loại bỏ bí mật khỏi các file trạng thái mà không cần thay đổi hoàn toàn quy trình làm việc.

Giải pháp: Triển khai tạm thời của MyCoCo

Tài nguyên tạm thời trong Terraform v1.10 đã giải quyết vấn đề của MyCoCo. Những tài nguyên này chỉ tồn tại trong quá trình thực thi - chúng được mở khi cần thiết, sử dụng trong quá trình hoạt động và sau đó đóng lại. Giá trị không bao giờ chạm vào các file trạng thái hoặc kế hoạch.

Trước đây: Mật khẩu trong trạng thái

# PHƯƠNG PHÁP CŨ - Mật khẩu lưu trữ trong trạng thái
resource "random_password" "db_password" {
  length  = 16
  special = true
}

resource "aws_db_instance" "main" {
  password = random_password.db_password.result  # Chuyển đến trạng thái!
}

Sau: Các file trạng thái sạch

# PHƯƠNG PHÁP MỚI - Không có mật khẩu trong trạng thái
ephemeral "random_password" "db_password" {
  length           = 16
  override_special = "!#$%&*()-_=+[]{}<>:?"
}

resource "aws_secretsmanager_secret_version" "db_password" {
  secret_id        = aws_secretsmanager_secret.db_password.id
  secret_string_wo = ephemeral.random_password.db_password.result
}

Điểm quan trọng: secret_string_wo là một tham số chỉ ghi nhận giá trị tạm thời nhưng không lưu trữ chúng trong trạng thái.

Lấy bí mật mà không cần lưu trữ

ephemeral "aws_secretsmanager_secret_version" "app_database" {
  secret_id = aws_secretsmanager_secret_version.db_password.secret_id
}

locals {
  db_credentials = jsondecode(
    ephemeral.aws_secretsmanager_secret_version.app_database.secret_string
  )
}

provider "postgresql" {
  host     = aws_db_instance.main.address
  username = local.db_credentials["username"]
  password = local.db_credentials["password"]
}

Mô hình này lấy bí mật trong quá trình thực thi Terraform mà không lưu trữ chúng trong quy trình IaC.

Kết quả: Chuyển mình về bảo mật của MyCoCo

• Loại bỏ hoàn toàn bí mật: Các file trạng thái đã chuyển từ việc chứa hàng chục giá trị nhạy cảm xuống còn không có gì. Các cuộc kiểm tra bảo mật có thể tập trung vào kiểm soát quyền truy cập thay vì lộ dữ liệu.
• Tuân thủ đơn giản: Tuân thủ SOC 2 trở nên dễ dàng khi họ có thể chứng minh rằng không có bí mật nào được lưu trữ trong các tài liệu hạ tầng.
• Cải thiện hoạt động: Phục hồi thảm họa, sao lưu file trạng thái, và chia sẻ nhà cung cấp trở thành các hoạt động thường xuyên mà không có lo ngại về bảo mật.
• Nâng cao trải nghiệm phát triển: Các thành viên trong nhóm có thể xem các file trạng thái để gỡ lỗi mà không tiết lộ bí mật sản xuất.

Quá trình chuyển đổi yêu cầu hiểu rằng tài nguyên tạm thời không thể được tham chiếu trong các ngữ cảnh yêu cầu lưu trữ - nhưng rào cản này là một tính năng bảo mật, không phải là một giới hạn.

Các điểm cần lưu ý

1. Bắt đầu với các bí mật có giá trị cao: Ưu tiên mật khẩu cơ sở dữ liệu, khóa API và chứng chỉ để tạo ra tác động bảo mật tối đa.
2. Hiểu các tham số chỉ ghi: Những tham số này chấp nhận các giá trị tạm thời mà không lưu trữ chúng trong trạng thái - chìa khóa cho việc triển khai sạch sẽ.
3. Lập kế hoạch cho sự khác biệt của nhà cung cấp: AWS, Azure và GCP triển khai tài nguyên tạm thời khác nhau dựa trên các mẫu quản lý bí mật bản địa của chúng.
4. Xác nhận triển khai: Sử dụng terraform show để xác minh rằng các giá trị nhạy cảm không còn xuất hiện trong các file trạng thái.
5. Chấp nhận rào cản: Tài nguyên tạm thời không thể lưu trữ dữ liệu - hạn chế này là lợi ích bảo mật.

Kết luận

Đối với các nhóm vẫn đang lưu trữ bí mật trong các file trạng thái, tài nguyên tạm thời đại diện cho một sự thay đổi cơ bản hướng tới bảo mật theo thiết kế trong IaC. Đầu tư vào việc học cách tiếp cận này sẽ mang lại lợi ích lớn trong tuân thủ, bảo mật và sự tự tin trong hoạt động.

Chìa khóa là hiểu rằng tài nguyên tạm thời giải quyết một vấn đề cơ bản: làm thế nào để sử dụng dữ liệu nhạy cảm trong mã hạ tầng mà không tạo ra rủi ro bảo mật lâu dài. Chúng không chỉ là một tính năng - chúng là một mô hình bảo mật nên trở thành thực hành tiêu chuẩn cho bất kỳ tổ chức nào xử lý hạ tầng nhạy cảm.

Bạn đã sẵn sàng để loại bỏ bí mật khỏi các file trạng thái của mình chưa? Bắt đầu bằng cách xác định các bí mật có rủi ro cao nhất và triển khai tài nguyên tạm thời với Terraform v1.10.

Cảm nhận của bạn về việc quản lý bí mật trong các file trạng thái Terraform thế nào? Bạn đã triển khai tài nguyên tạm thời hay tìm ra các phương pháp khác để giải quyết thách thức bảo mật này? Chia sẻ chiến lược và bài học của bạn trong phần bình luận bên dưới!