如何安全存储Mule应用的身份文件？SFTP私钥合规存储方案咨询

版本控制管理原则确认 #

私钥company.key严禁纳入版本控制系统管理，无论是直接提交密钥文件到代码仓库，还是在提交到仓库的config.yaml中硬编码密钥的本地路径，都属于高风险操作，一旦仓库访问权限泄露，对应SFTP服务的所有访问权限都会直接失控。

Anypoint Platform 生产级安全存储实现方案 #

推荐优先使用以下两种合规方案，不需要把密钥文件打包到应用部署包中：

• 方案一：通过Anypoint Secrets Manager直接存储密钥内容
  这是MuleSoft官方首推的生产环境实现方案，操作流程如下：
  1. 进入对应业务组的Anypoint Secrets Manager控制台，创建两个Generic Secret类型的保密项，分别存储company.key的全文内容、私钥对应的密码短语
  2. 在项目config.yaml中使用加密占位符配置参数，不要写入任何明文敏感信息，示例配置：

  sftp:
    privateKeyContent: ${anypoint::secrets::sftp-private-key}
    keyPassphrase: ${anypoint::secrets::sftp-key-passphrase}
  

  3. 应用部署时关联对应的Secrets Manager保密组，运行时会自动拉取保密值完成SFTP连接器的身份校验
• 方案二：存入统一信任库管理
  适合有统一密钥/证书管理规范的团队使用：
  1. 将company.key导入到JKS格式的Java信任库中，设置独立的信任库访问密码
  2. 将信任库文件上传到Secrets Manager的Keystore类型保密项中，信任库访问密码同样作为保密项单独存储
  3. 在SFTP连接器配置中指定读取信任库内对应别名的私钥即可

注：你提到的论坛公开方案仅适用于本地开发调试场景，属于非安全实现，禁止在生产环境使用。

内容的提问来源于stack exchange，提问作者Peter