Ingeniero DevOps: pregunta de entrevista
¿Cómo gestionas secretos de infraestructura?
Guarda secretos en un gestor cifrado, usa identidades en vez de claves estáticas, concede mínimo privilegio, inyecta en runtime, evita logs e imágenes, rota automáticamente, audita y prueba revocación.
Respuesta directa
Qué debe cubrir una buena respuesta
Cómo funciona
Los secretos viven en un gestor dedicado como Vault, AWS Secrets Manager o un almacén respaldado por KMS, nunca en código, imágenes o variables de CI copiadas a mano. Siempre que sea posible las cargas se autentican con una identidad, una cuenta de servicio de Kubernetes ligada a un rol cloud o una identidad SPIFFE, de modo que no hay clave de larga vida que filtrar. El acceso es de mínimo privilegio por secreto, los secretos se inyectan en runtime mediante ficheros montados o tokens de corta vida en lugar de hornearse en la build, la rotación se automatiza con ventanas de doble validez, cada lectura se audita y la revocación se prueba para poder matar una credencial filtrada en minutos.
Ejemplo
Un servicio lee la contraseña de su base de datos de un secreto dinámico de Vault con un lease de una hora ligado a su cuenta de servicio de Kubernetes; no hay contraseña estática que rotar. La clave de una API externa que no puede ser dinámica vive en Secrets Manager, se monta como fichero con el driver CSI y la rota cada mes una Lambda que actualiza tanto al proveedor como al almacén. Un simulacro de clave filtrada el trimestre pasado la revocó y sustituyó en seis minutos.
Errores frecuentes
- Pasar secretos como variables de entorno que acaban en volcados y logs.
- Hornear una credencial en una capa de imagen Docker.
- Rotar secretos solo sobre el papel, sin revocación ensayada.
Una estructura útil para responder
Responde desde tu propia experiencia.
No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.
Abre el espacio de trabajo de escritorio y ensaya una respuesta clara con tus propias palabras.