Come caricare un file JSON con chiavi segrete per Heroku

Question

Sto costruendo un'app per i binari che estrae i dati da Google Analytics utilizzando la libreria client di Google Api per Ruby.

Sto utilizzando OAuth2 e posso ottenere tutto ciò che funziona nello sviluppo su una macchina locale. Il mio problema è che la libreria utilizza un file scaricato, client_secrets.json, per memorizzare due chiavi segrete.

Problema: sto utilizzando Heroku e ho bisogno di un modo per ottenere il file nei loro server di produzione.

Non voglio aggiungere questo file al mio repository github poiché il progetto è pubblico.

Se esiste un modo per aggiungere temporaneamente il file a git, premere su Heroku e rimuovere da git che andrebbe bene. La mia sensazione è che le chiavi saranno nei commit e molto difficile da evitare di mostrare su github.

Provato: Finora posso dire che non è possibile SCP un file in Heroku tramite una console Bash. Credo che quando lo fai ottieni un nuovo Dyno e tutto ciò che aggiungi è solo temporaneo. Ho provato questo, ma non ho potuto far funzionare correttamente SCP, quindi non sono sicuro al 100% di questo.

provato: ho guardato memorizzare il file JSON in un ambiente o Config Var, ma non poteva farlo funzionare. Questo sembra il modo migliore per andare se qualcuno ha un pensiero. Spesso corro nei guai quando Ruby converte JSON in una stringa o in un hash, quindi forse ho solo bisogno di una guida qui.

provato: Inoltre ho cercato di trovare un modo per tirare appena fuori le chiavi dal file JSON, metterli in Config Vars, e aggiungere il file JSON a git. Non riesco a trovare un modo per inserire ENV["KEY"] in un file JSON.

---

Esempio Codice Il Google library has a method che carica il file JSON per creare un client di autorizzazione. Il client preleva un token (o fornisce un URL di autorizzazione).

client_secrets = Google::APIClient::ClientSecrets.load('client_secrets.json') 
auth_client = client_secrets.to_authorization 

** notare che l'esempio a pagina Google non mostra un nome di file perché usa un default ENV Var thats di stato impostato su un percorso

Immagino che questo sarebbe stato tutto molto più facile se la Il metodo ClientSecrets.load() prenderebbe solo JSON, una stringa o un hash che potrebbe entrare in un Config Var.

Purtroppo sembra sempre voler un percorso di file. Quando lo nutro, JSON, una stringa o un hash, esplode. I've seen someone get around the issue with a p12 key here, ma non sono sicuro di come replicarlo nella mia situazione.

non ho provato: Il mio unico altro se (a parte in movimento a AWS) è quello di mettere il file JSON su AWS e hanno rotaie tirano quando necessario. Non sono sicuro se questo può essere fatto al volo o se il file dovrebbe essere tirato giù quando si avvia il server di rotaie. Sembra troppo lavoro, ma a questo punto ho trascorso alcune ore su di esso così pronto a tentare.

Questo è il controller speciali Io sto lavorando su: https://github.com/dladowitz/slapafy/blob/master/app/controllers/welcome_controller.rb

Answer 1

By ricerca github ho scoperto che qualcuno aveva usato un metodo diverso che utilizza una stringa JSON come un argomento piuttosto che un percorso di file: Google::APIClient::ClientSecrets.new(JSON.parse(ENV['GOOGLE_CLIENT_SECRETS']))

Questo mi permette di concludere la JSON in un VAR ENV. Il mondo ha senso di nuovo.

Answer 2

mi sono imbattuto in questo stesso problema utilizzando Google API. Ho finito per usare openssl per assegnare una nuova passphrase molto segreta al file p12, archiviare quel nuovo file nel repository e quindi inserire la passphrase nei segreti delle app e nelle variabili env di Heroku.

In questo modo, il file si trova nel repository ma non può essere letto/letto senza la passphrase.

This post è stato utile nel cambiare la passphrase di google p12 predefinita da 'notasecret' a qualcosa di sicuro.

def authorize! 
    @client.authorization = Signet::OAuth2::Client.new(
    #... 
    :signing_key => key 
) 
end 

def key 
    Google::APIClient::KeyUtils.load_from_pkcs12(key_path, ENV.fetch('P12_PASSPHRASE')) 
end 

def key_path 
    "#{Rails.root}/config/google_key.p12" 
end 

Answer 3

Come discusso nel this thread, piuttosto che fornire un percorso di un file JSON chiave è possibile impostare tre variabili ENV invece:

GOOGLE_ACCOUNT_TYPE=service_account 
GOOGLE_PRIVATE_KEY=XXX 
GOOGLE_CLIENT_EMAIL=XXX 

Source here.