Bei Entwicklern sind statische Secrets beliebt, weil sie vermeintlich schnell und einfach Zugriff auf andere Systeme erlauben. Ist das Secret einmal erzeugt und in der Anwendung hinterlegt, kann sich der Entwickler dem eigentlichen Programmcode widmen, so die Überzeugung.

Leider sieht die Praxis anders aus, was statische Secrets zu einer echten Plage macht: Von der sicheren Aufbewahrung über eine regelmäßige Rotation bis hin zum Schutz vor einer versehentlichen Offenlegung gibt es viel zu beachten. Dynamische Secrets befreien zwar weitestgehend von diesen Pflichten, sie werden aber nicht von allen Schnittstellen unterstützt und lassen sich somit auch nicht flächendeckend einsetzen.

Deshalb muss ein holistischer Ansatz fürs Secrets Management den sicheren Umgang sowohl mit statischen als auch mit dynamischen Secrets beschreiben. Um genau dieses ganzheitliche Bild zu zeichnen, ergänzt dieser Artikel den Beitrag „Pipelines mit dynamischen Secrets absichern“ um die Betrachtung statischer Secrets. Dazu schaut er sich eine per Terraform und GitHub Actions bereitgestellte Azure Function an, die auf andere Azure-Dienste zugreift. Hierfür nutzt sie ein statisches, in einem Azure Key Vault verwahrtes Secret.

Das war die Leseprobe unseres heise-Plus-Artikels "Secrets Management: Mit IT-Pipelines und statischen Secrets umgehen". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.