7、基础设施即代码（IaC）中的设计模式应用

基础设施即代码（IaC）中的设计模式应用

1. 敏感信息管理

在处理基础设施时，敏感信息的管理至关重要。我们可以从秘密管理器中检索敏感信息，以更改基础设施提供商的资源。每当证书发生更改时，需在秘密管理器中更新它。基础设施即代码（IaC）在从秘密管理器读取证书时会更新其配置。将证书管理与配置分离，可减轻后续证书过期带来的问题。

以下是一些管理敏感信息的要点：
- 分离秘密存储 ：将秘密从其他基础设施资源中分离，应用了可组合性和可演进性原则。这样能确保他人无法通过查看IaC获取密码或用户名，同时在轮换秘密时重新运行IaC，可将失败影响降至最低。
- 以变量形式传递秘密 ：始终将秘密作为变量传递给IaC，并在内存中使用。这些秘密包括安全外壳协议（SSH）密钥、证书、私钥、API令牌、密码和其他登录信息。应使用单独的实体（如秘密管理器）来存储和管理敏感认证数据。
- 避免硬编码和明文提交 ：切勿将秘密硬编码或明文提交到版本控制中。

2. 编写基础设施即代码的原则

编写IaC时，可遵循以下原则：
- 利用版本控制提交 ：使用版本控制中的提交来传达更改和上下文，并格式化代码以提高可读性。
- 参数化配置 ：对名称、环境和对其他基础设施的依赖进行参数化。如果将配置属性限定于某个资源，可以将其设置为常量。
- 秘密管理 ：秘密应始终作为变量传递，而不是硬编码或明文提交到版本控制中。