Добрый вечер. Хочу поднять весьма холиварный вопрос, но не закидывайте

Question

Добрый вечер. Хочу поднять весьма холиварный вопрос, но не закидывайте

сразу камнями. Пытаюсь понять best practice в вопросе хранения секретов. Без кубера, номада и прочего. Вот есть просто гитлаб, есть compose, есть приватное docker хранилище и есть CI/CD. Вот что не начнешь читать, везде пишут: .env в репе не храни, .env на проде не храни, variables в gitlab это небезопасно, не используй их. В итоге - как правильнее всего просто добавлять переменные окружения в собираемые контейнеры в CI/CD и отправлять в приватную репу если ничего нельзя?)

#devops #programming #russian

0

18.11.2020

11 ответов

23 просмотра

Sergey Zhuravlev Автор вопроса

Petro
ну, не использовать секреты per se 🙂

Ну а как их не использовать если на прод должен прилетать контейнер с переменными окружения где все доступы и к БД и прочему?)) Да и долететь с гита на сервер целевой все это как то должно ведь? То есть как минимум залезть по ssh и дернуть docker-compose pull

0

18.11.2020

AlexD

не добавлять секреты в image а делать это в runtime через volume или через consul-template

0

18.11.2020

Petro

Sergey Zhuravlev
Ну а как их не использовать если на прод должен пр...

зависит от ситуации, но например контейнер может пойти в хранилище, например HAshCorp Vault, аутентифицироваться, скажем, своим SerivceAccount, получить роль и ролью взять креды из волты.

0

18.11.2020

Sergey Zhuravlev Автор вопроса

AlexD
не добавлять секреты в image а делать это в runtim...

то есть вместо закладывания в image переменных окружения с секретами мы пробрасываем volume Значит храним секреты на хосте?

0

18.11.2020

Sergey Zhuravlev Автор вопроса

Petro
зависит от ситуации, но например контейнер может п...

Не хочется HashCorp

0

18.11.2020