tietokoneet/files/sops/README.md

Guix SOPS -salaisuuksienhallinta

https://github.com/fishinthecalculator/sops-guix

Uuden laitteen lisääminen

Jokaiselle salaisuuksia tarvitsevalle laitteelle luodaan oma PGP-salausavain seuraavan kaltaisella komennolla. Olennaista on, että avaimella ei ole salasanaa eikä se vanhene.

gpg --batch --passphrase '' --quick-generate-key \
    '(SOPS Guix -salauksen purkamiseen) <root@LAITE>' default default never

Tämän avaimen yksityinen osa tallennetaan salattuna kaikille ylläpitäjille hakemistoon host-decryption-keys käyttämällä apuna ./encrypt-private-key.sh komentokyhäelmää. Kyhäelmä hakee ylläpitäjien julkiset salausavaimet hakemistosta ./admin-encryption-keys.

gpg --export-secret-keys root@LAITE | ./encrypt-private-key.sh > host-decryption-keys/LAITE.key.gpg

Lisäksi yksityinen avain viedään laitteen root-käyttäjän avainrenkaaseen.

gpg --decrypt < host-decryption-keys/LAITE.key.gpg | ssh root@LAITE 'gpg --import'

Avaimen tunniste lisätään salaisuuksienhallinan ohjaustiedostoon sops.yaml omalle rivilleen kohtaan keys. Tunnisteen saa näkyviin ajamalla komennon gpg --list-keys root@LAITE. Kun kaikki ylläolevista on tehty, laitteelle voi asentaa salaisuuksia.

Uuden ylläpitäjän lisääminen

Ylläpitäjä tarvitsee oman PGP-salausavaimensa, jonka voi luoda esimerkiksi GnuPG:llä komennolla gpg --generate-key. Avaimen julkinen eli salauspuoli tallennetaan hakemistoon ./admin-encryption-keys muita ylläpitäjiä varten.

gpg --armor --export AVAIN > admin-encryption-keys/YLLÄPITÄJÄ.pub

Lisäksi avaimen tunniste pitää lisätä sops.yaml-tiedostoon. Jonkun aiemman ylläpitäjän pitää lisätä uusi tiedostojen salausryhmiin ja salata tiedostot uudelleen ennen kuin ne ovat hänen luettavissaan.