Pythonスクリプト内のログインIDとパスワードを暗号化する方法について

Question

ある処理をSSH接続先で実行するPythonスクリプトにおいてログイン処理自体を自動化するために、Pythonスクリプト内で変数として定義された接続先のログインIDとパスワードを暗号化する良い方法が無いか調べております。

現状スクリプト内に以下のように予めIDとパスワードを変数として設定しているのですが、セキュリティ上の理由で暗号化しログイン情報の漏洩を防ぎたいと考えております。スクリプトの置かれているサーバー自体には複数のチームメンバーがログインするのですが、当該スクリプトの中身とSSH接続先のログイン情報は特定の限られたメンバーだけが知れる情報として制限するというセキュリティ要件です。

スクリプト内にログイン情報記述を回避する方法として、getpassモジュールを利用しスクリプト実行時にIDとパスワードの入力を求めるやり方もあるかと思いますが、CRONなどで実行を自動化したいためスクリプト内のログインID情報をSSHのConnectionオブジェクトに自動的に渡しております。

別ファイルでのログイン情報を管理しても平文での定義になってしまうなどいい方法を見つけられずにおります。いい方法があればご教授頂きたいと存じます。

USER = 'hoge'
PSWD = 'P@ssw0rd'

ssh.connect(self.host, username=USER, password=PSWD)

Answer 1

ご紹介のみ。

下記の記事がわかりやすかったです。
AES対応のPython暗号化ライブラリを比較検証してみた | DevelopersIO

もう一つの記事は、鍵ファイルとCredentialファイルを作成し、そこから復号する手順が紹介されています。
getpassを使っていなかったり、鍵ファイル名の修正が必要なミスがありますが、概略はつかみやすいです。（鍵をLinuxではドットファイル、Windowsではレジストリを使おうとしていると思われます）
Create a Credential file using Python - GeeksforGeeks

Comments

[minhouse10]

phoepsilonix様、大変有用な情報をシェア頂きありがとうございます！早速テスト環境での実装を検討してみます。

Answer 2

サーバー自体には

サーバーにログインするユーザーとして、最低でもSSHのパスワードを知って良い人用とダメな人用の２ユーザーを作り、OKユーザーの方の環境変数にパスワード設定してスクリプト実行する時は環境変数からパスワード読み込む（スクリプトからはパスワードの記載を除去する）

Comments

[minhouse10]

hentaiman様、ご回答頂きありがとうございます。この発想は思いつきませんでした。確かにこの方法であれば全体的なセキュリティ上の懸念を減らせますね。チーム内で検討してみたいと思います。