SOPS와 Puppet 통합을 통한 민감 데이터 보호 전략

100대 이상의 서버를 관리하는 Puppet 같은 도구에서 데이터베이스 패스워드나 API 키 등 민감 정보가 노출되면 기업의 핵심 자산에 심각한 위협이 될 수 있습니다. 본문에서는 SOPS(Secret Operations)와 Puppet의 원활한 통합을 통해 30분 이내에 민감 데이터 전체 생애주기 보호를 구현할 수 있는 자동화된 암호화 방안을 제시합니다.

• SOPS 핵심 암호화 메커니즘과 Puppet 통합 포인트 정리
• 자동화 암호화 Hiera 계층 구성법 학습
• 암호키 회전 및 권한 관리 전략 수립
• 생산 환경에서 바로 사용 가능한 코드 템플릿 제공

SOPS 암호화 원리 및 장점

SOPS는 민감 데이터 보호를 위한 오픈소스 암호화 및 키 관리 도구입니다. 데이터 암호화 키(DEK)와 주 키(KEK)로 이루어진 이중 구조를 기반으로 작동하며, YAML/JSON/ENV 등 다양한 설정 파일 형식을 지원합니다. aes/cipher.go 파일은 AES-GCM 알고리즘을 활용해 데이터 무결성과 기밀성을 보장합니다.

환경 준비 및 도구 체인 구축

기본 환경 요구사항

• Go 1.19+
• Puppet Agent 6.0+
• Git
• GnuPG

SOPS 설치 절차

# 프로젝트 저장소 클론
git clone https://gitcode.com/gh_mirrors/so/sops.git
cd sops

# 바이너리 컴파일 및 설치
make install

# 설치 검증
sops --version

Puppet 모듈 준비

# Hiera-eyaml 모듈 설치
puppet module install hiera-eyaml

# SOPS 통합 플러그인 복제
git clone https://github.com/voxpupuli/puppet-sops.git /etc/puppetlabs/code/environments/production/modules/sops

핵심 통합 구현

1. 키 체계 설계

# 개발/테스트/생산 환경별 키 쌍 생성
gpg --full-generate-key --rfc4880 --batch <<EOF
Key-Type: RSA
Key-Length: 4096
Subkey-Type: RSA
Subkey-Length: 4096
Name-Real: Puppet Production SOPS Key
Name-Email: puppet-prod@example.com
Expire-Date: 365
%no-protection
%commit
EOF
</code>

creation_rules:
  - path_regex: hieradata/production/.*\.yaml$
    pgp: >-
      85D77543B3D624B63CEA9E6DBC17301B491B3F21,
      E60892BB9BD89A69F759A1A0A3D652173B763E8F
    encrypted_regex: "^(password|secret|key|token)$"

# modules/sops/lib/puppet/functions/sops/decrypt.rb
require 'open3'

Puppet::Functions.create_function(:'sops::decrypt') do
  dispatch :decrypt do
    param 'String', :file_path
  end

  def decrypt(file_path)
    stdout, stderr, status = Open3.capture3('sops', 'decrypt', file_path)
    unless status.success?
      raise Puppet::Error, "SOPS decrypt failed: #{stderr}"
    end
    YAML.load(stdout)
  end
end

sops rotate --add-pgp NEW_FINGERPRINT --rm-pgp OLD_FINGERPRINT secrets.enc.yaml