【Amazon S3】credentials.yml.encの記述について

Question

rails 6.2

画像の保存先として、初めてAmazon S3を使います。

「credentials」の記述について分からないことがあります。

アクセスキーの設定についてです。
方法を調べると、以下の2パターンありました。

config/initializers/carrierwave.rb

    aws_access_key_id: Rails.application.credentials.dig(:aws, :access_key_id),
    aws_secret_access_key: Rails.application.credentials.dig(:aws, :secret_access_key),

  

あるいは、dotenv-railsというgemを入れてENVから設定

config/initializers/carrierwave.rb

    aws_access_key_id: ENV['AWS_ACCESS_KEY_ID'],
    aws_secret_access_key: ENV['AWS_SECRET_ACCESS_KEY'], 
      

両者の違いは何なのでしょうか？
どっちの方法で設定すれば良いのか分かりません。

gemを使う方は、他にも環境変数を利用する場合に便利ということでしょうか？

初めてで少し混乱してるところです。

先輩方教えて下さい。
宜しくお願い致します。

Answer 1

まず、大前提としてこの内容にS3やAWSは関係ありません。

自分はRailsに詳しいわけじゃないので正確ではないかもしれませんが、credentials.ymlを使う方法はRails5.2から追加された方法です。
一方、環境変数についてはそれ以前から使用できた方法なのでおそらく両者が混在しているのでしょう。
ただ、正直自分にはどっちがよいかはわかりません。
credentials.ymlはmaster.keyによって暗号化しているのでmaster.keyさえ別途管理しておけばgitにコミットしてもいいと言えなくもないのかもしれないですが、個人的にはそれでもコミットは避けたいですね。
強いて言えば、master.keyさえわからなければcredentials.ymlの内容は暗号化されているので、.envでセンシティブな情報を扱うよりはちょっと安全かもしれません。
個人的にはそこのセキュリティに拘る前に、まずサーバへのアクセス制御をきちんとすべきだと思いますが…。

Railsを普段から扱っている人の見解を知りたいですね。

ちなみに、AWS上（例えばEC2やECS上）からS3等にアクセスしたい場合はそもそもキーを使わずにIAMロールを使用することを推奨するので、このいずれの方法も使いません。DBのアクセス情報とかはここに入れることになるでしょうけど。

Comments

[pecchan]

有難う御座います。
>一方、環境変数についてはそれ以前から使用できた方法なのでおそらく両者が混在しているのでしょう。
なるほど、そういう経緯で両者が混在してるわけですね。

>個人的にはそこのセキュリティに拘る前に、まずサーバへのアクセス制御をきちんとすべきだと思いますが…。
特に拘るつもりはないです。単にrailsアプリの画像保存場所をS3にしたいだけだったのですが、手順が分からず・・・。

>Railsを普段から扱っている人の見解を知りたいですね。
同感です。なのでしばらくクローズせず、他に回答つくか様子を見させて下さい。

>ちなみに、AWS上（例えばEC2やECS上）からS3等にアクセスしたい場合はそもそもキーを使わずにIAMロールを使用することを推奨する
知りませんでした。今後の参考に覚えておきます。有難う御座います。