Nuclio函数中能否安全存储并使用访问凭证？

以下是经过生产验证的可行方案，可彻底避免明文配置凭证带来的安全隐患：

• 对接Kubernetes原生Secret能力
  Nuclio运行在Kubernetes集群之上时，原生支持引用K8s Secret资源注入敏感信息。你可以先将数据库账号、密码、连接串这类敏感信息创建为集群内的Secret资源，之后在Nuclio函数的环境变量配置中，通过secretKeyRef字段关联对应Secret的键值，函数运行时可直接从环境变量读取凭证，整个函数配置、代码中完全不会出现明文敏感信息。
  对应的函数配置片段参考：

env:
  - name: DB_CONNECTION_STRING
    valueFrom:
      secretKeyRef:
        name: db-access-credentials
        key: connection-string
  - name: DB_USERNAME
    valueFrom:
      secretKeyRef:
        name: db-access-credentials
        key: username
  - name: DB_PASSWORD
    valueFrom:
      secretKeyRef:
        name: db-access-credentials
        key: password

• 对接统一密钥管理服务实现动态拉取
  如果你的部署环境配套有密钥管理服务（如云厂商KMS、自建密钥管理系统），可以为Nuclio函数绑定拥有对应密钥读取权限的最小化身份，函数启动时先通过内置的身份鉴权机制通过密钥服务的校验，再动态拉取需要的数据库访问凭证。这种方案不需要在函数侧静态存储任何凭证，还支持凭证自动轮转，安全性最高，适合对安全等级要求高的生产场景。
• 加密配置文件挂载方案
  如果你的凭证需要存放在独立配置文件中，可以先使用对称密钥将包含凭证的配置文件加密，将加密后的文件通过Nuclio的配置挂载能力传入函数；解密使用的密钥通过K8s Secret的方式单独注入函数，函数启动时先完成配置文件解密再加载凭证。注意不要将解密密钥和加密配置文件存放在同一存储位置，避免同时泄露。

注意：禁止将凭证硬编码在函数代码中，也不要直接将明文凭证填写在Nuclio控制台的环境变量值字段、函数配置文件的明文配置段中，这类内容很容易随代码提交、配置共享发生泄露。

内容的提问来源于stack exchange，提问作者Brennan