Maradjunk böngészőből elérhető webes alkalmazásoknál, te valamiért telefonos appban gondolkodsz. (én amúgy php-s vagyok, de nem releváns, hogy mondjuk nodejs-ben menne a cucc)
A user belépés itt csak annyit jelent, hogy van olyan script amit csak adott felhasználó ér el, de ez se jelent teljes elzárást. A keretrendszer nem fog futtatni bizonyos kódrészeket ha a user nincs belépve, nem rendelkezik role-kkal, stb.
Performanciában eléggé komoly lassulást okozhat ha minden adott oldallekérésnél be kell kérdezni a keyvault-ba. Ha az első futásnál kéred le és cacheled, akkor ugyanúgy kiolvasható, pl env változókból.
A keyvaulthoz ahogy írtad, kell hozzáférés szintén. Nem tudod elrejteni.
- Azureban olyanokat csináltunk, hogy deploy-nál kértük le annó az adatot és az ment env változóba.
- AKS volt megoldása rá, hogy keyvaultból olvassa ki a secretet, a vége ugyanúgy env változó lesz.
- Azure app servicenél van összekapcsolás, meg Digital Ocean app platformon van olyan, hogy az adott env változó encrypt-ed, valszeg a háttérben titkosítva van, de ugyanúgy env változó lesz ott is.
Tehát 2 gondom van, a sebességet rontja a sok vault lekérés, illetve valahol kell a vault elérése is.
Azure alatt volt lehetőség elvileg arra, hogy AKS mindenféle key-el lépjen be a kódból vagy bárhonnan, elvielg össze lehetett volna lőni erőforrás szinten jogosultságokkal, hogy elérje, de a vége ugyanőgy secret lesz env-el. Bár ez a módszer nem működött akkor még, valami nem klappolt MS-nél.
Nagyobb cégnél voltunk többen is DevOps-ok és a CTO-nak volt ez az álma, hogy ne legyen beégetve fájlokba a mysql jelszó, ne lehessen sehogyan se kikérni, kiolvasni. Mindannyian elmondtuk, ezerszer, hogy tökmind1 hogyan és honnan kéred ki, a végén ott lesz a memóriában valamilyen szinten, amit el kell érnie a php-nak és akkor php-ból kiolvasható ugyanúgy, vagy a gépről env változóból. Ugyanígy az se volt megoldás, hogy KeyVaultból olvassuk be minden oldalletöltésnál mert rettenetesen belassult volna tőle a rendszer. Itt pedig már arról se beszélhetünk, hogy levédjük felhasználóvan az adatot, hisz publikus részekről van szó, ahogy pl egy mailgun hívás se kerülhet autentikált oldal mögé, pl egy rendelés végén küldendő levélnél.