Где вы храните секреты
Вопрос
Интервьюер: «Расскажите, как у вас устроены секреты: от разработчика до пода в проде».
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Источник истины: Vault или облачный менеджер секретов, не git и не образ
Аутентификация сервисов по их удостоверению (сервисный аккаунт, OIDC), а не по общему токену
Доставка в под: External Secrets, CSI или Vault Agent; файлом, а не env, где возможно
Права по минимуму, аудит обращений
Ротация и динамические секреты
Защита от утечек: сканеры в pre-commit и CI, маскирование в логах
Что могут спросить следом
- Как разработчик получает секреты для локальной разработки?
- Что будет, если Vault недоступен?
Разбор
Образцовый ответ: «Источник истины Vault в HA с auto-unseal через KMS облака. Сервисы в Kubernetes аутентифицируются через auth method kubernetes по токену своего сервисного аккаунта, политика даёт чтение только своего пути. В под секреты приходят через External Secrets Operator, etcd зашифрован KMS. Базы с динамическими учётками на час. CI ходит в Vault по JWT от GitLab, без статических токенов. Pre-commit и CI гоняют gitleaks. Разработчики локально используют отдельные dev-секреты, к продовым доступа нет. Если Vault недоступен, уже запущенные поды работают: секреты в Secret, а сам Vault в трёх зонах, его доступность у нас под SLO».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.