API資格情報を保存する

Question

APIの資格情報をハッキングできないように保存するにはどうすればよいですか？たとえば、AWSキー、Googleのクラウドキーなど

githubリポジトリを使用している場合は、実際には（HerokuやEC2インスタンスなど）、これを簡単にハッキングできます。何か案が？

Answer 1

まあまあです。

AWSのベストプラクティスは、EC2（またはECS）インスタンスに割り当てられたIAMインスタンス（またはタスク）ロールを使用することです。

アプリケーションが使用するセキュリティ資格情報を管理することなく、アプリケーションがインスタンスからAPI要求を安全に作成できるようにIAMロールを設計しました。 AWS資格情報を作成して配布する代わりに、IAMロールを使用してAPIリクエストを作成する権限を委任できます。

あなたはIAMロールのAWSドキュメントのアマゾンEC2セクションのIAM役割にどのように機能するかについての詳細を読むことができます：あなたがこれまでのコードにそのような資格情報をコミットしないhttp://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-roles-for-amazon-ec2.html

Answer 2

。あなたのHerokuの例では、set them as config variablesとなり、必要に応じてコードが環境から値を引き出します。

AWSでは、do something similar、またはAWS KMSサービスまたはAWS SSM Parameter Storeを使用できます。また、AWSでは、他のAWSサービスにアクセスしているときに、資格情報を直接使用するのではなく、リソースに割り当てられたIAMロールを使用します。