Azure ARM Misconfiguration: Hardcoded Secret

O modelo define um valor padrão para um parâmetro com um tipo seguro.

Parâmetros confidenciais do modelo ARM do Azure, como senhas, geralmente usam os tipos securestring ou secureobject.

Para parâmetros que usam um tipo seguro, os valores dos parâmetros não são registrados ou armazenados no histórico de implantação.

No entanto, se um valor padrão com código rígido for configurado para um tipo seguro, esse valor padrão poderá ser lido por qualquer pessoa que possa acessar o modelo ou o histórico de implantação.

Segredos de código rígido podem comprometer a segurança de uma maneira que não é fácil de solucionar. Depois que o software estiver em produção, é necessária uma atualização para alterar o segredo comprometido.

No caso de um segredo usado para criptografar dados, as etapas de rotação de chave devem ser administradas para descriptografar e criptografar novamente todos os dados protegidos pela chave comprometida.

Exemplo 1: O modelo a seguir mostra um parâmetro com um tipo de segredo que tem um valor padrão de código rígido.

{
    ...
    "parameters": {
        "rootPassword": {
            "defaultValue": "HardcodedPassword",
            "type": "secureString"
        },
        "adminLogin": {
            "type": "string"
        },
        "sqlServerName": {
            "type": "string"
        }
    },
    ...
}