Защита данных при использовании Vagrant

Базы данных обычно содержат информацию, доступ к которой должен быть ограничен. По этой причине стоит обсудить некоторые проблемы безопасности, о которых должны знать пользователи Vagrant.

Доступ к машине Vagrant

По умолчанию машины Vagrant доступны только из localhost. Доступ по SSH использует случайные пары ключей, и поэтому он безопасен.

Пароль для root и vagrant по умолчанию равен "vagrant". Рассмотрите возможность его изменения.

Синхронизированные папки

По умолчанию папка проекта в системе хоста совмещается с машиной, где она отображается как /vagrant. Это означает, что любой, у кого есть доступ к папке проекта, также имеет доступ для чтения и записи в синхронизированную папку. Если это проблема, убедитесь, что доступ к синхронизированной папке должным образом ограничен.

Если нам необходимо обмениваться файлами между системой хоста и машиной Vagrant, не рекомендуется отключать синхронизированную папку. Это связано с тем, что единственная альтернатива — использовать поставщика file, который работает путем копирования файлов на машину через ssh. Проблема заключается в том, что пользователь ssh по умолчанию не имеет разрешений на запись в любой каталог по умолчанию, а изменение этого было бы менее безопасным, чем использование синхронизированной папки.

При подготовке машины она должна считывать необходимые файлы из синхронизированной папки или копировать их в другие места. Файлы в синхронизированной папке не должны использоваться машиной Vagrant в ходе ее обычной работы. Например, загрузить дамп из синхронизированной папки во время подготовки — это нормально; и копировать конфигурационные файлы из синхронизированной папки в каталоги в /etc во время подготовки — это нормально. Но не следует допускать, чтобы MariaDB использовала файлы таблиц, расположенные в синхронизированной папке.

Сообщения о проблемах безопасности

Обратите внимание, что сообщения о проблемах безопасности не рассматриваются как обычные сообщения об ошибках. Информация о проблемах безопасности не является общедоступной. Подробности см. в разделе Безопасность в HashiCorp.

Контент первоначально был предоставлен компанией Vettabase Ltd.