Administrar credenciales de db para aplicaciones web

Sí, hay varias herramientas que proporcionan la automatización de las mejores prácticas para la gestión de un política de credenciales de la base de datos .

Si está utilizando AWS, entonces hay AWS Secrets Manager . Para una solución independiente del proveedor de la nube, hay un Vault de Hashicorp que administra secretos de todo tipo.

Si desea implementar algo localmente en su propio entorno, hay Conjur que es de código abierto. También hay otras herramientas comerciales como okta y otros

Depende de qué amenaza quieres protegerte. Si no quiere tener secretos en los archivos fuente / config, puede almacenar su "secreto maestro" (el que se conecta al "registro de credenciales") en una variable de entorno.

Si, en un sistema multi-tenanted, se pueden ver las variables de entorno de todo el sistema; Recomiendo tener secretos individuales por inquilino, para acceder al registro de credenciales. Por supuesto, también está protegido con los ACL adecuados.

Una solución alternativa es usar el acceso basado en certificados para obtener credenciales. Almacena la clave privada protegida en su máquina (solo accesible para el usuario / proceso solicitante), y una referencia a ella, como una huella digital, en un archivo de configuración.

Un método alternativo sería usar un servidor de autenticación externo para almacenar las credenciales con los mecanismos de seguridad necesarios (por ejemplo: Servidor de Servicios de Directorio / LDAP). La autenticación de la base de datos puede manejarse en este servidor en lugar de manejarse en el programa, ya que el núcleo de autenticación podría descargarse en estos servidores de autenticación.

Espero que puedas eliminar tus inquietudes de esta manera ...