Можно ли скрыть пароль прокси от администратора клиентского хоста?
Выберите область учётных данных прокси, подходящую администраторам хоста, где используется секрет.
«Держать других пользователей подальше от этого файла» и «скрыть пароль от тех, кто администрирует этот сервер», — разные требования.
Права, управляемые учётные данные и отредактированная диагностика помогают с первым. Они уменьшают случайное раскрытие через конфигурацию, резервные копии, аргументы команд и дампы окружения.
Для второго спросите, чем управляют эти администраторы. Возможности Linux и ограничение могут сузить отдельные роли. Тот, кто может заменить клиент прокси, изменить его запуск или просмотреть его выполнение, — другой противник, чем обычная учётная запись, читающая файл.
Сервис в конце концов должен использовать учётные данные. Шифрование с оставлением пригодного пути расшифровки под контролем того же администратора не создаёт недостающей границы.
Дайте необслуживаемой машине учётные данные сервиса с подходящей областью, с отдельной ротацией и отзывом. Если операция должна оставаться вне администраторов этой машины, поместите её за отдельно управляемую границу. Продолжайте защищать локальную копию; просто не утверждайте, что её права решают оба требования.