Gerenciamento de Segredos

Como você gerencia segredos (senhas, chaves de API, certificados) com segurança em um ambiente de DevOps?

Securityintermediate

// pergunta de entrevista

Como você gerencia segredos (senhas, chaves de API, certificados) com segurança em um ambiente de DevOps?

Resposta de exemplo

Gerenciamento de segredos envolve armazenar, acessar e rotacionar dados sensíveis com segurança. Boas práticas: 1) Nunca commite segredos no controle de versão. 2) Use gerenciadores de segredos dedicados (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault). 3) Injete segredos em tempo de execução via variáveis de ambiente ou volumes montados. 4) Implemente acesso de privilégio mínimo. 5) Rotacione segredos regularmente. 6) Audite o acesso aos segredos. No Kubernetes, use operadores de secrets externos em vez de objetos Secret simples, que são apenas codificados em base64.

Por que isso importa

Segredos em texto puro são um pesadelo de segurança - arquivos .env vazados, commits com senhas e arquivos de configuração em logs causam vazamentos. O gerenciamento moderno de segredos oferece criptografia em repouso e em trânsito, registro de acesso, rotação automática e controle centralizado. Este é um domínio de segurança crítico que todo engenheiro de DevOps precisa entender.

Exemplos de código

Uso básico do HashiCorp Vault

bash

# Write a secret
vault kv put secret/myapp/config \
    db_password=supersecret \
    api_key=abc123

# Read a secret
vault kv get secret/myapp/config

# Read specific field
vault kv get -field=db_password secret/myapp/config

# Enable audit logging
vault audit enable file file_path=/var/log/vault_audit.log

External Secrets Operator

yaml

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: app-secrets
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: aws-secrets-manager
    kind: ClusterSecretStore
  target:
    name: app-secrets-k8s
  data:
  - secretKey: database-password
    remoteRef:
      key: prod/myapp/database
      property: password

Erros comuns a evitar

Armazenar segredos em variáveis de ambiente em Dockerfiles (visíveis no histórico da imagem)
Usar Kubernetes Secrets sem criptografia (são apenas codificados em base64)
Não rotacionar segredos depois que um membro do time sai

Prováveis perguntas de acompanhamento

Como você implementaria a rotação de segredos sem downtime da aplicação?
Qual a diferença entre criptografia em repouso e em trânsito?
Como você lida com segredos em pipelines de CI/CD com segurança?

Responda em voz alta primeiro e depois confira com a resposta modelo.

Praticar todas as perguntas de Pleno Mais perguntas de Security

#security#secrets#vault#devops#best-practices

Mais perguntas de entrevista de Security

Arquitetura de Segurança e DevSecOpsSênior
Arquitetura Zero TrustSênior
Compliance e governança na nuvemSênior

Also worth your time on this topic

Checklist

Checklist de Gerenciamento de Segredos com HashiCorp Vault

Configure e opere o HashiCorp Vault em produção: armazenamento em alta disponibilidade, TLS, auto-unseal, segredos dinâmicos, criptografia como serviço, além das políticas, auditoria e backups que mantêm tudo seguro.

60-90 minutos

Quiz

HashiCorp Vault Secrets Management Quiz

Teste como você opera o HashiCorp Vault em produção: credenciais dinâmicas de banco de dados, leases e TTLs, políticas de menor privilégio, autenticação AppRole e Kubernetes, o engine Transit, auto-unseal, audit logging, e revogação rápida quando algo é comprometido.

20-25 minutos

Exercise

Segurança de Infraestrutura com Vault e SOPS

Implemente gerenciamento de segredos de nível empresarial usando o HashiCorp Vault e o SOPS para workflows de GitOps criptografados.

100 minutos