git commitする時に、秘密にしなければならない情報があればどうしたらいいのでしょうか？

Question

gitでレポジトリを公開していると、git commitするたびに情報が更新されていくと思いますが、その中にシークレットキー情報とかアクセスキー情報とか入っているものがあれば、まずくないですか？
(amazon s3のaccess_key_idやsecret_access_keyなど)

そのファイルだけアップしないようにすることとかできるのでしょうか？

Answer 1

それはとてもまずいです。
アクセスキーを使って攻撃を受けるとAWSの費用がとんでもない金額になります。

そのファイルだけアップしないようにすることもできますが
そもそもそういったファイルはソース管理対象外にすべきかと思いますので
.gitignoreファイルを作って対象外のファイルを管理してはいかがでしょうか。

参考になりそうなページを貼っておきます。
https://qiita.com/inabe49/items/16ee3d9d1ce68daa9fff

Comments

[renren643]

回答ありがとうございます。参考にさせていただきながらやって見ます！

[yuki-saito]

簡単な対応ですと、ルートディレクトリに.gitignoreファイルを作って
その中に対象のファイル名を書けばOKです＾＾
是非やってみてください。

[renren643]

はい！ありがとうございます！

Answer 2

その中にシークレットキー情報とかアクセスキー情報とか入っているものがあれば、まずくないですか？

おっしゃる通り、まずいです。

ただし、GitHubのパブリックリポジトリだとアウトでしょうけど、お金払ってプライベートリポジトリにしたり、
少人数ならBitBucketで無料でプライベートリポジトリを借りる、
ローカルでGitLab等のGitリポジトリサーバを構築する等すれば貴重なパスワード等の情報は流出しないので問題ありません。

そのファイルだけアップしないようにすることとかできるのでしょうか？

.gitignoreを使いましょう。
このファイルがプロジェクトルートに設置されていると、Gitはそのファイルを世代管理対象から外すようになります。
git statusコマンドでも出てきませんし、git add .等のコマンドでも自動的に追加されることがなくなります。

ただし、既にコミット済みのファイルを.gitignoreの対象として設定しても、
自動的に世代管理対象から外れるということはなく、公開され続けることに注意してだくさい。

---

他の方法としては、環境変数に突っ込むという手法もあります。

export FOO="BAR"
export PORT="80"

git clone https://github.com/foo/project /opt/project

chmod +x /opt/project/bin/entrypoint.sh
/opt/project/bin/entrypoint.sh

このような公開しない社内用スクリプトを作って、
サーバーを立ち上げたら実行するというフローを作るというやり方もあります。
お好みに合わせてどうぞ。

Comments

[renren643]

＞ただし、既にコミット済みのファイルを.gitignoreの対象として設定しても、
自動的に世代管理対象から外れるということはなく、公開され続けることに注意してだくさい。

あまりgitの使い方がわかっていないのですが、とりあえず今public repositoriesがない状態だったらその心配はいらないということでしょうか？

[miyabi-sun]

ん、GitとGitHubの区別がついてない感じですかね？

Gitはファイルの世代管理ソフトであり、
GitHubはGitのプロジェクトをクラウド上で保存してくれるサービスを指します。
ただし、`git fetch`や`git clone`といったリモートと連携する為のコマンドが豊富に存在し、2つでセットみたいな側面があり、ごっちゃに考えてるユーザーは多いです。

.gitignoreを使った方法はパスワードの詰まったファイルを世代管理の対象から排除する機能。
プライベートリポジトリにするのは、パスワードの詰まったプロジェクトをGitHubにpushしても、パブリック設定とは違いプロジェクトメンバーとして設定した一部のユーザーしかアクセスできないのでパスワードが漏れないでしょ？という話です。

> public repositoriesがない状態だったらその心配はいらないということでしょうか？
プライベートリポジトリで管理している場合、上記の理由で第三者にパスワードが漏れる事はないため、
パスワードの含まれたファイルも世代管理対象にして管理することが可能です。

GitHubに上げたものの、うっかり月額課金を停止してしまってパブリックリポジトリに変更されてしまうケースがあるので注意してください。