如何通过Github Webhooks安全地加密秘密？

Question

我有一个在服务器上运行的服务，只要我使用Github Webhooks将新代码推送到存储库，就会更新并重新启动它。它可以访问一堆数据库，这些数据库的凭据被硬编码到配置文件中。我想加密配置文件，只在服务启动时将其解密到内存中。

由于我已启动该服务，因此看起来加密密钥需要存在于Web服务器上，这首先会破坏加密文件的目的。

我可以使用Github的某些身份验证属性作为加密密钥，还是以其他方式将密钥传递给未保存到磁盘的服务器？该文件应该如何保护？

Answer 1

  

该文件应该如何保护？

不是GitHub或任何Git相关的。

您需要：

• 外部服务（如hashicorp/vault）
• 或能够安全分发秘密的平台（如docker secret）

但GitHub本身只托管回购，它不管理机密 GitHub webhook只是一个回调，这意味着有一个服务正在收听该回调。