2. Secrets管理基础：常见Secrets类型与安全风险概述
在蓝绿发布与流水线集成场景中，Secrets是连接应用与基础设施的敏感凭证。一旦泄露，攻击者可直接接管数据库、伪造API请求或窃取TLS流量。本节系统梳理三类核心Secrets类型及其对应的安全风险，为后续的加密存储与动态注入奠定基础。
2.1 常见Secrets类型
根据使用场景与敏感度，Secrets可分为以下三大类：
| 类别 | 典型示例 | 生命周期 | 泄露影响等级 |
|---|---|---|---|
| 云服务Access Key、第三方平台、内部微服务认证 | 长期（月/年）或短期（分钟/小时） | 高 – 可导致资源滥用、数据窃取 | |
| 数据库密码 | MySQL/PostgreSQL连接密码、Redis认证字符串、MongoDB用户凭证 | 长期（通常季度/年度轮换） | 极高 – 直接暴露核心数据存储 |
| 证书 | TLS/SSL私钥、JWT签名密钥、SSH私钥、CA根证书 | 长期（1～3年）或短期（Let's Encrypt 90天） | 极高 – 可伪造身份、解密流量、中间人攻击 |
实践建议：在蓝绿发布流水线中，数据库密码与TLS证书是最常被硬编码的两类Secrets。建议优先对这两类实施自动轮换与动态注入。
2.2 安全风险概述
Secrets管理不当会引入以下四类核心风险：
- 硬编码泄露 – 将Secrets直接写入代码仓库、配置文件或Docker镜像层，导致版本控制历史中永久留存敏感信息。
- 传输暴露 – 在CI/CD流水线中通过明文环境变量或未加密的HTTP传递Secrets，中间人可截获。
- 存储失窃 – 将Secrets存储在未加密的本地文件、共享存储卷或日志文件中，攻击者横向移动后可批量窃取。
- 权限过载 – 单个Secrets拥有过高权限（如数据库root账号、云服务Admin角色），一旦泄露可造成全量数据或资源失控。
2.3 流水线中的典型泄露场景
以下是在CI/CD流水线中真实发生过的高危泄露场景：
- 场景A：开发者在代码仓库中提交了包含数据库连接字符串的
application.properties，密码以明文形式暴露在Git历史中。 - 场景B：Jenkins构建日志中打印了云服务Access Key，日志被长期保留在ELK系统中，内部人员可随意查看。
- 场景C：Docker镜像构建时将TLS私钥作为
COPY指令写入镜像层，镜像被推送到公共仓库后私钥完全公开。 - 场景D：蓝绿发布切换脚本通过环境变量传递数据库密码，环境变量被子进程继承并写入调试转储文件。
关键警示：上述场景中，超过70%的泄露事件源于“临时调试”或“快速上线”时绕过了Secrets管理流程。在蓝绿发布流水线中，必须将Secrets管理作为发布门禁的一环，而非事后补救措施。
2.4 风险等级评估矩阵
为帮助团队快速评估Secrets风险优先级，以下矩阵综合了泄露概率与影响范围：
| Secrets类型 | 泄露概率 | 影响范围 | 综合风险等级 | 推荐动作 |
|---|---|---|---|---|
| （云服务） | 中 | 高（可操作资源） | 高 | 自动轮换 + 最小权限策略 |
| 数据库密码 | 高 | 极高（数据全量泄露） | 极高 | 动态注入 + 短生命周期凭证 |
| TLS私钥 | 低 | 极高（身份伪造） | 高 | HSM或Secrets Store存储 |
| JWT签名密钥 | 中 | 高（伪造） | 高 | 定期轮换 + 签名算法升级 |
| SSH私钥 | 低 | 中（主机访问） | 中 | SSH CA + 短有效期证书 |
2.5 安全基线原则
针对上述风险，在流水线集成Secrets管理时应遵循以下基线原则：
- 最小权限：每个Secrets仅授予执行任务所需的最小权限，禁止使用全局Admin凭证。
- 动态凭证：优先使用短期凭证（如STS临时、数据库动态密码），减少长期Secrets的暴露窗口。
- 加密存储：所有Secrets在存储和传输过程中必须使用AES-256或更高强度的加密算法。
- 审计追溯：每次Secrets的访问、轮换、吊销操作均需记录日志，并纳入安全事件监控。
- 自动轮换：数据库密码和应设置自动轮换策略，轮换周期不超过90天。