在 laravel 中写入 oauth 密钥文件的安全位置

Question

我正在将我的 laravel 应用程序部署到 AWS Elastic Beanstalk，我遇到了持久化 laravel 护照的 oauth 密钥的问题。

我经历了this 和this。虽然 S3 选项听起来很合理，但我仍然想要一种更安全的方式，并希望从 AWS 中签出 Secret Manager。

由于 laravel 护照 provides the option to load keys from a custom folder，我想我可以使用 AWS PHP SDK to retrieve a secret key 并将其写入 storage/app/oauth-public.key 和 storage/app/oauth-private.key 并从那里加载护照。

这种方法在部署到 beanstalk 后运行良好，但 storage/app 文件夹是生成 oauth.*.key 文件的安全位置吗？还是有更好的方法/更安全的地方？

以下是我在Providers/AuthServiceProvider.php中的开机功能

public function boot()
{
    $this->registerPolicies();
    Passport::routes();
    Passport::tokensExpireIn(now()->addDays(5));

    // load keys from aws secret manager if they don't exist
    if(!file_exists(storage_path().'/app/oauth-public.key') && !file_exists(storage_path().'/app/oauth-private.key')) {
        $keys = json_decode($this->getPassportKeys());
        $public_key = implode("\n", explode('\n', $keys->PASSPORT_PUBLIC_KEY));
        Storage::put('oauth-public.key', $public_key);
        $private_key = implode("\n", explode('\n', $keys->PASSPORT_PRIVATE_KEY));
        Storage::put('oauth-private.key', $private_key);
    }
    Passport::loadKeysFrom(storage_path().'/app');
}

Answer 1

通常，您在 AWS 上的应用程序应该是无状态。这意味着不应将任何数据存储在实例上，因为它们可能会因活动扩展、可用区重新平衡或其他活动而随时被替换。

因此，通常您会将应用程序数据存储在您的实例之外。对于秘密，例如您的密钥，好的位置可能是 SSM Parameter Store 或 Secrets Manager (SM)。

您已经在使用 SM，在我看来这很好。如果您将它们本地存储在storage/app 中，则该文件夹将在您部署新版本应用程序时被删除。因此，您必须确保始终从 SM 获得密钥。您也可以考虑将文件存储在内存中，而不是存储在硬盘上。这样您就可以更快地获取它们，而无需从本地存储中读取它们。