AWS 배포 시 민감정보 관리는 어떻게 하시나요?

Question

안녕하세요.현재 스프링부트로 CI/CD를 구축하기 전에 먼저 EC2 서버에 Docker Image를 pull하여 컨테이너로 동작시키고 있습니다.그리고 외부에서 EC2서버로 접근하려고 했는데요여기서 민감정보인 RDS 엔드포인트, DB계정 정보를 어떻게 처리해야 할까 고민입니다.현재 프로젝트 내에 DB정보를 담고 있는 yaml 파일이 다음과 같습니다.spring: datasource: url: jdbc:mysql://엔드포인트주소:3306/DB명 username: 마스터계정 password: 비밀번호 driver-class-name: com.mysql.cj.jdbc.Driver jpa: properties: hibernate: dialect: org.hibernate.dialect.MySQLDialect현재 아쉽게도 Docker 무료버전을 사용하기 때문에 Public 공간에 Image를 저장하고 있습니다.당연하게도 이런 민감정보 파일을 프로젝트 내에 저장하여 jar파일로 묶는 순간, jar 파일이 유출되면 큰일나는 것을 압니다.그래서 이 민감정보를 어떻게 처리할까 싶습니다.이전 프로젝트에서 진행했던 방법은 (오래 되기도 했고, 거의 클론 코딩 수준으로 진행했기 때문에 이해도가 좀 떨어져 있습니다.)db-config.yml 파일을 별도로 정의한 후에 해당 파일에 DB 민감정보를 저장해뒀습니다.그리고 아래와 같이 지정하여 외부 설정파일(db-config.yml)을 참조하여 정보를 얻게끔 했습니다. (아직도 아래 주석이 무슨 내용인지는 헷갈리고 있습니다. profiles는 배포할 때 넣어야 정상 작동 했고, config는 로컬에서 정상작동했습니다.) spring: profiles: include: db, oauth# config:# import: db-config.yml, application-oauth.yml # config import 지정해줘야 데이터 저장됨무튼 위처럼 include나 import되는 민감정보가 저장되어 있는 yml 파일은 git ignore를 통해 깃허브 저장소로 push하지 않았습니다.이렇게 된다면 EC2 서버에서는 db에 관해 참조할 정보가 없기 때문에, EC2 서버에 동일한 yml 파일을 생성했었습니다.위 과정이 어떤 방식으로 일컫는지 모르겠지만, 위의 방식대로 진행했었습니다.그러나 다른 방법도 있나 찾아보았는데키값을 암호화 하여 그대로 push를 한 후에, EC2 서버에서 개인키로 복호화 하는 방식으로 구현하는 사람도 보았습니다.이 DB 민감정보를 어떻게 관리해야 할지 골머리가 썩히고 있어서어떤 키워드로 찾는 게 좋을지라도 키워드를 주신다면 정말 감사하겠습니다.감사합니다

nilgil · Answer

도커로 이미지를 띄우는 시점에 환경변수로 담아주는 방식을 많이 사용해요spring의 application.yml과 환경변수와의 관계에 대해 알아보시면 좋을 것 같아요!도커로 이미지 띄울 때 docker compose를 사용하시는지 아니면 그냥 run 명령어를 사용하시는지는 모르겠습니다만두 방법 모두 환경변수를 주입하는 방법에 대해 찾아보시면 금방 나올거에요그리고 aws를 사용하신다니 aws secret manager를 사용하는 것도 방법이겠구요!

kenu,전독시 · Answer

12factor에도 좋은 글이 있습니다.III. 설정환경(environment)에 저장된 설정

도각도각 · Answer

AWS Parameter Store 라는 서비스가 있습니다. 한번 확인해보세요.

파이리v · Answer

aws에 parameter store 또는 secrets manager를 사용하면 됩니다.

AWS 배포 시 민감정보 관리는 어떻게 하시나요?

4개의 답변

#rds 목록