Guarda ~/.aws/credentials y ~/.aws/config en Crunu

Qué hace Crunu con los archivos de credenciales de AWS

Crunu guarda ~/.aws/credentials y ~/.aws/config como archivos con sus rutas, y los edita tal como están escritos: secciones INI como [default] y [profile staging], con los campos dentro de cada sección. Los valores siguen enmascarados hasta que eliges Show, y se cifran en tu dispositivo antes de que nada llegue al servidor.

Cómo traerlos

Arrastra tu carpeta .aws a un entorno. Crunu reconoce los dos archivos por su nombre y su contenido y fija sus rutas en .aws/credentials y .aws/config dentro de tu directorio personal. Puedes corregir cualquier ruta antes de guardar. Un proyecto personal es un buen sitio para tus propias claves; el entorno de un proyecto compartido conviene para las claves que necesitan un equipo o una máquina.

Devolverlos a una máquina

Con la línea de comandos crunu, inicia sesión y escribe los archivos del entorno en sus rutas:

crunu pull --env dotfiles/laptop --dry-run
crunu pull --env dotfiles/laptop

Sustituye dotfiles/laptop por tu propio proyecto y entorno. --dry-run muestra las rutas sin escribir nada. Cada archivo se escribe con permisos 0600, la versión anterior se conserva como .prev, y todos los archivos se comprueban antes de colocar cualquiera de ellos en su sitio.

Sin la línea de comandos, descarga desde el navegador un script de instalación con los archivos del entorno y ejecútalo en local o en un servidor por SSH. Escribe de la misma forma y comprueba antes el SHA-256.

Usarlos como variables de entorno

Si un programa lee AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY de su entorno, guárdalas como variables en un archivo .env marcado para cargarse como variables de entorno e inicia el programa con crunu run. Los valores llegan al programa en memoria y nunca se escriben en disco.

crunu run --env data-pipeline/production -- python etl.py

Cuidado con ~/.aws/config

~/.aws/config puede ejecutar comandos, por ejemplo mediante credential_process. Cuando alguien abre un enlace de acceso, Crunu marca esos archivos como capaces de ejecutar comandos, junto con los archivos de inicio del shell y los ajustes de SSH, y los deja sin seleccionar en el paso de instalación. Instálalos solo si confías en quien te los envía.

Cuando una clave tiene que cambiar

Crunu no rota las claves en AWS. Cuando alguien se va, la lista de reemisión del asistente de baja de miembros nombra las claves de AWS que vio y que siguen en uso, y AWS es uno de los servicios para los que Crunu enlaza la página donde se emite una clave nueva. Reemite la clave en AWS y guarda el valor nuevo en el entorno. Las máquinas que tienen la clave del entorno reciben la versión nueva en su siguiente consulta.

Relacionado

• Funciones de la bóveda
• Archivos y variables
• crunu pull
• Ansible Vault