node.js - 开发中的秘密管理问题

目前我正在深入研究开发过程中的秘密管理。我的想法是使用像 HashiCorp 的 Vault 这样的秘密管理工具来存储我所有的秘密。

这是我的用例：客户端创建了 Vimeo API 密钥，它将存储在 Vault 中。我在一个小团队中工作，我想与我的同事分享这个秘密。在开发过程中，他们需要使用此密钥，因此他们将此密钥设置为环境变量。稍后他们将被解雇（例如）。

问题是我可以在 Vault 中撤销对这个密钥的访问，但它们仍然具有 Vimeo 令牌的价值，因为他们在开发过程中使用了它。

你怎么处理这个？

标签： node.jsbackendsecretsmanager