使用sops-nix实现NixOS安全密钥管理的实践指南

概述

在现代系统管理中，密钥和敏感信息的安全存储与分发是一个关键挑战。sops-nix作为NixOS生态中的一个重要工具，提供了与Mozilla的SOPS(Secrets Operations)工具集成的解决方案，能够帮助管理员安全地管理NixOS系统中的敏感数据。

sops-nix工作原理

sops-nix的核心思想是将加密的敏感信息存储在Nix配置中，在系统部署时解密这些信息。它通过以下机制实现：

1. 密钥管理：使用age或PGP密钥对敏感数据进行加密
2. 分层解密：支持不同级别的访问控制
3. 运行时解密：通过systemd服务在系统启动时解密密钥

典型部署流程

1. 准备主机密钥

首先需要为部署目标生成SSH主机密钥，这是安全通信的基础：

TEMPDIR=$(mktemp -d)
mkdir -p $TEMPDIR/etc/ssh
ssh-keygen -t ed25519 -N '' -f $TEMPDIR/etc/ssh/ssh_host_ed25519_key

2. 转换密钥格式

将SSH公钥转换为age格式，以便sops使用：

ssh-to-age -public-key < $TEMPDIR/etc/ssh/ssh_host_ed25519_key.pub

3. 配置SOPS

将生成的age公钥添加到.sops.yaml配置文件中，并更新密钥：

sops updatekeys secretfile.yaml

4. 系统部署

使用nixos-anywhere工具进行远程部署，同时传递主机密钥：

nix run github:nix-community/nixos-anywhere -- \
  --flake ~/flakedir#flakename \
  --target-host root@$IP \
  --extra-files $TEMPDIR/

常见问题与解决方案

1. 密钥未正确解密

确保在部署过程中：

• SSH密钥生成时没有意外设置密码
• age密钥正确添加到.sops.yaml
• 配置文件中的引号使用标准ASCII字符

2. 密钥存储位置

sops-nix默认将解密后的密钥存储在：

• /run/secrets.d：系统级密钥
• /run/secrets-for-users.d：用户级密钥

这些位置是临时文件系统，重启后数据会丢失，符合安全最佳实践。

3. 部署后验证

成功部署后应检查：

• /run/secrets.d目录下是否有age-keys.txt文件
• 预期的密钥文件是否已正确解密并符号链接到指定位置
• 用户密码是否已按配置设置

高级配置建议

1. 多阶段解密：sops-nix支持分阶段解密，可根据安全需求配置
2. 混合加密：可同时使用age和PGP密钥，提高灵活性
3. 密钥轮换：定期更新加密密钥，增强安全性

总结

sops-nix为NixOS系统提供了企业级的密钥管理方案。通过正确配置，可以实现：

• 敏感信息的加密存储
• 安全的密钥分发机制
• 符合最小权限原则的访问控制

掌握这些技术要点后，管理员可以构建更加安全可靠的NixOS基础设施。