如何避免磚秘密的範圍從公開密鑰駐留在Azure密鑰庫的價值?

[Raghav1]

我已經創建了一個關鍵Azure關鍵庫儲存我的秘密在裏麵。為了安全地使用它Azure磚,已經創建了秘密的範圍和配置的Azure關鍵庫屬性。出於好奇,隻是想檢查我是否關鍵是安全可靠的。因為,我不想讓它接觸。有些驚訝。我能夠p無線電偵察的關鍵的價值駐留在關鍵拱頂磚的遊樂場。

這是一個錯誤嗎?

[werners1]

不,我認為你是正確的。不應暴露的關鍵。

這是一個錯誤,或者一些失蹤的配置。

我自己應該測試。

[dazfuller]

嗨

這是一個已知的限製和被稱為在可用的文檔:

https://docs.m.eheci.com/security/secrets/redaction.html

[prasadvaze]

@Kaniz Fatma是任何解決即將到來嗎?這是一個很大的安全漏洞

醫生說,“以確保適當的控製的秘密應該使用工作區對象訪問控製(允許限製運行命令)“- - - - - -如果我阻止訪問運行cmd筆記本用戶工作如何?權限可以限製在特定的命令嗎?如何?

設置(spark.secret。redactionPattern真正)集群沒有幫助

[davidveuve]

不幸的是它基本上是不可能解決這個問題當你使用API的秘密。因為磚是一種通用計算平台,我們可以試圖使這實際上更困難,但我們不能解決它。Beplay体育安卓版本例如,如果我們匹配之間的空格字符,那麼人們可能會進一步模糊化(如base64編碼的秘密,然後打印)。

即使我們會竭盡全力構建一個自定義類,不能打印,為了使用這個秘密我們將不得不允許它被轉換成一個字符串(沒有保護),因為所有的功能,實際使用的秘密需要使用一個字符串。例如,為了使用一個API密匙在python請求,請求模塊需要有一個簡單的字符串為了通過它。

基本上,鑒於通用計算平台、可用性和安全性之間的衝突,這樣的秘密API不能使用,如果密碼沒有Beplay体育安卓版本發現(和在實踐中,很難創建的方法不是微不足道的繞過)。

說,最好的前進道路是避免依靠API當我們可以秘密。這對於每個用例不能被應用,但對於特定的交通流量,磚可以自己的整個過程(如訪問特定ADLS存儲帳戶或S3 / GCS桶),或者我們可以實現本地與雲提供商提供的角色,這樣的集成不需要顯式憑據(如與AWS我實例配置文件)。這些能力已經到位,磚正在努力提供更多的能力在不久的將來在這一領域。