Belajar DevOps Engineer - Secrets Management & Security

#Pendahuluan

Sepanjang series ini kalian berulang kali mendengar peringatan yang sama: jangan menaruh secret di kode, di pipeline, di image. Di episode 16 inilah peringatan itu dijawab dengan solusinya. Secrets management adalah disiplin menyimpan, mengedarkan, dan mengganti rahasia — password, token API, kunci database, certificate — secara terpusat, terkontrol, dan dapat diaudit.

Mengapa ini penting? Karena hampir semua insiden keamanan modern dimulai dari secret yang bocor: access key di repository publik, password database di .env yang ter-commit, token yang tertanam di image container. Sekali secret bocor ke publik, ia harus dianggap terbakar — dan rotasi adalah satu-satunya obat. Episode ini membekali kalian dengan prinsip, tool (Vault/OpenBao, cloud KMS), dan praktik rotasi di dalam pipeline.

#Prinsip Dasar Secrets Management

Empat aturan yang tidak bisa ditawar:

1. Jangan pernah commit secret ke Git — source code, manifest, dan history-nya harus bersih.
2. Jangan pernah menaruh secret di image — nilai ENV di Dockerfile tertanam permanen di layer image (episode 7).
3. Satu secret untuk satu tujuan — jangan memakai ulang token yang sama untuk lingkungan berbeda.
4. Selalu punya jalur rotasi — secret harus bisa diganti tanpa downtime.

#Vault dan OpenBao

HashiCorp Vault adalah standar industri untuk manajemen secret. OpenBao adalah fork open source yang lahir dari perpindahan Vault ke lisensi BUSL — secara fungsional kompatibel. Konsep intinya:

Contoh menyimpan dan membaca secret dengan KV:

vault kv put secret/app/prod db_password=Str0ng! db_user=app
vault kv get secret/app/prod
vault kv metadata get secret/app/prod

Kekuatan Vault yang sesungguhnya adalah dynamic secrets: aplikasi meminta kredensial database saat dibutuhkan, Vault membuat user baru dengan lease pendek (misal 1 jam), dan mencabutnya setelah lease habis:

vault read database/creds/app-role
# Key                Value
# lease_duration     1h
# password           xK9q... (user dibuat khusus)
# username           v-token-app-... (otomatis dicabut setelah lease)

Tidak ada lagi password statis yang disimpan di config aplikasi — kredensial ada justru ketika dibutuhkan, dan mati setelahnya.

#Cloud KMS: Enkripsi di Infrastruktur

Cloud KMS (AWS KMS, GCP Cloud KMS, Azure Key Vault) adalah layanan terkelola untuk enkripsi dan rotasi kunci. Perbedaannya dengan Vault: KMS mengelola kunci enkripsi untuk data cloud (disk, bucket, database), sedangkan Vault mengelola secret aplikasi (kredensial, token). Keduanya saling melengkapi — contoh pola umum: KMS menjaga kunci enkripsi data di rest, Vault menjaga kredensial akses aplikasi.

GCP Cloud KMS terintegrasi mulus dengan aplikasi via API:

gcloud kms encrypt \
  --location=global --keyring=app \
  --key=app-key \
  --plaintext-file=secret.txt \
  --ciphertext-file=secret.txt.enc

#Secret Rotation

Rotasi adalah siklus hidup secret yang disengaja — dan harus terotomasi, bukan ritual tahunan manual:

• Rotasi otomatis untuk secret yang didukung cloud (KMS, DB-managed credentials).
• Rotasi terjadwal untuk secret aplikasi; pantau umur secret dan buat alert saat mendekati kedaluwarsa.
• Pemisahan nilai — gunakan versi (Vault mendukung versioned KV) sehingga rollback tetap mungkin tanpa membocorkan nilai lama.

Dengan dynamic secrets di Vault, rotasi tidak lagi menjadi acara: setiap lease baru adalah kredensial baru. Inilah alasan mengapa Vault mengubah workflow keamanan dari "proses" menjadi "default".

#Praktik: Kelola Secret di Pipeline CI/CD

Alur yang benar: CI tidak pernah menyimpan secret, ia mengambilnya saat dibutuhkan. Di GitHub Actions, secret disimpan di pengaturan repository dan di-inject sebagai environment variable yang hanya hidup selama job:

name: Deploy
on:
  push:
    branches: [main]
 
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
 
      - name: Ambil secret dari Vault
        uses: hashicorp/vault-action@v3
        with:
          url: https://vault.company.com
          token: ${{ secrets.VAULT_TOKEN }}
          secrets: |
            secret/data/ci/github-token | GH_TOKEN ;
            secret/data/app/prod | DB_PASSWORD
 
      - name: Deploy via GitOps manifest
        run: |
          gh repo clone username/deploy-manifests
          echo "$GH_TOKEN" | gh auth login --with-token
          # update tag image, push, lalu Argo CD (episode 14) mengambil alih

#Pitfall Umum

• Secret statis yang tidak pernah dirotasi — umur secret harus diukur, bukan diabaikan.
• Token akses cloud jangka panjang di CI — gunakan OIDC/role sementara (episode 12) sehingga pipeline tidak memegang kredensial permanen.
• Secret yang sama untuk semua environment — dev, staging, dan prod wajib punya secret terpisah.
• Me-log secret — secret yang muncul di log build adalah kebocoran yang tidak terdeteksi; aktifkan redaction di level log.
• Mengenkripsi secret ke dalam Git — ini membantu, tetapi harus dibarengi dengan rotasi kunci yang baik; tanpa itu, semua versi terenkripsi bisa dibuka dengan kunci yang bocor.

#Penutup

Inti yang harus dibawa pulang:

• Empat aturan: jangan commit, jangan di image, satu secret satu tujuan, selalu bisa dirotasi.
• Vault/OpenBao memberi dynamic secrets dan lease; cloud KMS menjaga kunci enkripsi infrastruktur.
• Rotasi harus terotomasi dan diukur umurnya — dynamic secret membuat rotasi menjadi default.
• Pipeline mengambil secret saat dibutuhkan, bukan menyimpannya; di K8s, External Secrets Operator menjembatani GitOps dengan Vault.

Di episode 17 selanjutnya kita membahas Artifact & Environment Management — cara mengelola hasil build (artifact) secara immutable dan mempromosikannya antar-environment secara terkendali. Secret yang aman + artifact yang immutable adalah dua pilar rilis yang dapat dipercaya.