s3keyring 0.3.0

S3 存储桶

S3 密钥库后端要求您具有对 S3 存储桶的读写访问权限。如果您想使用存储桶 mysecretbucket 来存储您的密钥库，则需要将以下 IAM 策略附加到所有将具有读取和写入访问权限的 IAM 用户账户或角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::mysecretbucket",
            "Condition": {}
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::mysecretbucket/*"
        }
    ]
}

如果您想创建一个只读访问密钥圈的策略，请从上面的策略中移除 s3:PutObject 和 s3:DeleteObject 操作。

加密密钥

您需要创建一个 KMS加密密钥。记下您创建的KMS密钥ID。您需要将此KMS密钥ID与密钥圈的用户共享。

重要：您需要授予每个需要访问密钥圈的IAM用户或角色的读取访问权限。

一次性配置

如果您尚未这样做，您需要通过运行以下命令来配置您本地的AWS CLI安装：

aws configure

然后配置S3密钥圈

s3keyring configure

您的密钥圈管理员将为您提供KMS密钥ID、Bucket和Namespace配置选项。选项AWS profile允许您指定在访问密钥圈时用于签署所有请求的本地AWS CLI配置文件。大多数用户将希望使用默认配置文件。

重要：当在通过IAM角色授予密钥圈访问权限的EC2实例中部署s3keyring时，您不应在实例中配置s3keyring时指定自定义AWS配置文件。

您可以通过设置以下环境变量来不使用用户输入配置s3keyring模块：S3KEYRING_BUCKET、S3KEYRING_NAMESPACE、S3KEYRING_KMS_KEY_ID、S3KEYRING_AWS_PROFILE。如果正确设置了这些环境变量，则可以使用以下方式配置s3keyring模块：

s3keyring configure --no-ask

配置配置文件

您可以使用s3keyring将密钥存储（读取）在（来自）多个后端S3密钥圈中。一个典型的用例是为具有不同信任级别的不同用户组创建不同的密钥圈。例如，您的密钥圈管理员可能设置了一个只有具有管理员权限的IAM用户可以访问的S3密钥圈。使用您的密钥圈管理员提供的bucket、KMS密钥ID和命名空间，您可以配置一个单独的s3keyring配置文件来访问仅管理员可访问的密钥圈。

s3keyring --profile administrators configure

您的密钥圈管理员还可能设置了一个单独的S3密钥圈来存储需要由您参与的项目中的EC2实例作为后端工作进程访问的秘密。要访问该密钥圈，您将配置第二个s3keyring配置文件。

s3keyring --profile website-workers configure

然后，为了在管理员密钥圈中存储和检索秘密

s3keyring --profile administrators set SERVICE ACCOUNT PASSWORD
s3keyring --profile administrators get SERVICE ACCOUNT

并且您可以使用选项--profile website-workers以相同的方式为website-workers密钥圈进行操作。

配置文件

默认情况下，s3keyring从~/.s3keyring.ini读取配置选项。您还可以使用以下方式在当前工作目录的.s3keyring.ini文件中存储配置：

s3keyring configure --local

s3keyring将始终首先从您当前工作目录下的.s3keyring.ini文件中读取配置。如果没有找到，则从~/.s3keyring.ini中读取。

推荐工作流程

这就是我在我的Python项目中使用 s3keyring 的方法。

假设我的项目根目录看起来像这样

setup.py
my_module/
          __init__.py

我在项目根目录下运行

s3keyring configure --local

我将生成的 .s3keyring.ini 文件作为项目源代码的一部分（即在版本控制下）。然后在我的项目代码中，我这样使用密钥环

from s3keyring.s3 import S3Keyring

keyring = S3Keyring(config_file="/path/to/s3keyring.ini")
keyring.set_password('service', 'username', '123456')
assert keyring.get_password('service', 'username') == '123456'