Выбор ответа Middle Облака спрашивают часто обновлено
Доступ приложения к бакету без ключей
Вопрос
Как приложению на ВМ безопаснее всего получить доступ к объектному хранилищу?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Привязать к ВМ сервисный аккаунт с правами, токен брать из метаданных. Сервисный аккаунт или роль ВМ выдаёт короткоживущие токены через метаданные, они обновляются сами, а SDK облака умеет их брать.
Варианты ответа
- Статический ключ доступа в переменных окружения systemd-юнита
- Сделать бакет публичным на чтение и запись, ограничив его по IP ВМ
- Привязать к ВМ сервисный аккаунт с правами, токен брать из метаданныхправильный ответ
- Захардкодить ключ в коде, но сделать репозиторий приватным
Разбор
Сервисный аккаунт или роль ВМ выдаёт короткоживущие токены через метаданные, они обновляются сами, а SDK облака умеет их брать. Статический ключ живёт долго и утекает через бэкапы, логи, образы. Публичный бакет на запись это катастрофа. Приватный репозиторий не защищает от утечки: доступ к нему есть у многих, ключ остаётся в истории.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.