システムディレクトリのパスワードをRailsディレクトリツリーに格納する場所は？

Question

データベースパスワードやXMLフィード用の別々のHTTP認証パスワードなど、私のRailsアプリケーションにはいくつかの「システム」パスワードがあります。

私の問題は、これらのパスワードを自分のディレクトリに格納する方法を正確に知っていて、できるだけ安全であるようにすることです。特にRails 3の推奨事項は何ですか？

Answer 1

データベースに暗号化されていますか？

環境設定では？

私は過去に両方を使用しました。現実には、HTTPパスワードはAPIキーのようなものです。このサービスの提供者は、あなたが「悪」なんてアクセスできないという責任を負います。一般的には、公開したくないソース管理に何かを置くことをお勧めします。以前は、アプリの外に別のキーファイルを配置する必要がありました。あなたが本当に安全なもの（クレジットカード）をしているなら、それを行うことができます。そして、キーファイルにアクセスできるユーザーをサーバー上に作成します。その後、キーファイルのパスワードではなく、セキュリティモデルとしてUnixボックスへのアクセスを実際に使用しています。

Answer 2

設定ファイルをconfig-folder（または少なくともpublic-folder;の外側）に保存してください。これ以外にも、外部からrails-app-user-accountへのアクセスを保護する必要があります（ssh-pubkey認証を強制する）。

もう1つのセキュリティ上の欠陥は、チェックインされた設定ファイルと、合理的なパスワード情報（データベースアクセスなど）です。私はいつもconfig/database.ymlを.gitignoreに追加し、デフォルトのconfig/database.sample.ymlを他の開発者のためのテンプレートとしてチェックインします。 「本当の」config/database.ymlは、環境固有の設定値で手動で作成および設定されます。