Apprendre à gérer les secrets (clés API, mots de passe, certificats) de manière sécurisée en utilisant HashiCorp Vault.

Objectif : Apprendre à gérer les secrets (clés API, mots de passe, certificats) de manière sécurisée en utilisant HashiCorp Vault.

Les applications ont besoin de mots de passe, de clés API et d'autres secrets pour fonctionner. Il est crucial de les protéger contre les fuites.

Solution open-source permettant de stocker et d'accéder de manière sécurisée aux secrets.
Chiffrement des données en repos et en transit.
Accès restreint basé sur des politiques.

Installation sur un serveur Linux

wget https://releases.hashicorp.com/vault/1.10.3/vault_1.10.3_linux_amd64.zip
unzip vault_1.10.3_linux_amd64.zip
sudo mv vault /usr/local/bin/

Stocker et récupérer un secret

export VAULT_ADDR='http://127.0.0.1:8200'
vault kv put secret/taskmanagerpro db_password=SuperSecret123
vault kv get secret/taskmanagerpro

Configurer l'application pour récupérer les secrets
- Modifier le fichier .env pour retirer les mots de passe en dur.
- Utiliser Vault pour les injecter dynamiquement.
Accéder à Vault depuis l'application
- Installer le client Vault :
```
npm install node-vault
```
- Ajouter un script pour récupérer les secrets au démarrage.

Objectif : Identifier et corriger les failles de sécurité dans les images Docker et les dépendances applicatives.

Trivy est un scanner de vulnérabilités open-source.
Il détecte les failles dans les conteneurs, dépendances et systèmes d'exploitation.

sudo apt install trivy

trivy image taskmanagerpro:latest

trivy fs --scanners vuln .

Analyser l'image Docker et corriger les vulnérabilités
- Mettre à jour les dépendances obsolètes.
- Appliquer les correctifs recommandés.
Automatiser le scan de vulnérabilités dans CI/CD
- Ajouter une étape de scan dans le pipeline GitHub Actions :
```
- name: Security scan with Trivy
  run: trivy image taskmanagerpro:latest
```

Sécurité

📘 Quiz : Teste tes connaissances !