Manifestte depoya girmiş gizli değer (ARCH10024)

Anahtar config.k8s.secret-in-manifest · Önem error · Kategori security · CWE CWE-798

data ya da stringData alanında değer tutan bir Secret, o değerin depoda olması demektir; base64 bir kodlamadır, şifreleme değil. Adı gizli bir kelimeyle biten ve değeri yazılmış bir konteyner env girdisi de aynıdır.

Hatalı

apiVersion: v1
kind: Secret
metadata:
  name: db-credentials
type: Opaque
stringData:
  password: change-me-123

Doğru

apiVersion: apps/v1
kind: Deployment
metadata:
  name: api
spec:
  selector:
    matchLabels:
      app: api
  template:
    metadata:
      labels:
        app: api
    spec:
      containers:
        - name: api
          image: example/api:3.2.0
          env:
            - name: DB_PASSWORD
              valueFrom:
                secretKeyRef:
                  name: db-credentials
                  key: password

Düzeltme

Gizli değerleri depo dışında tutun: sealed ya da harici bir secret veya dağıtımın oluşturduğu bir secret, valueFrom.secretKeyRef ile okunur.

İşaretlenmeyenler

• valueFrom.secretKeyRef, valueFrom.configMapKeyRef ve boş değerler.