deployment - 使用 Puppet 和 Hiera 保护 SSL key (用于生产 Web 应用程序)

Question

我想知道保护 Web 应用程序的 SSL key 和证书的最佳方法是什么。我正在使用角色/配置文件模式。这是场景:

我有一个网络应用程序。有一个设置应用程序的 Puppet 模块。该模块还设置了运行所需的 SSL key 和证书。这些文件在 app/files 目录下的同一个 repo(不安全)中提交，然后使用 file 放置在正确的位置类型。

有一个配置文件 list 将这个应用程序的堆栈放在一起 - 安装和设置 apache，安装和设置 memcached，安装 php 并使用上述模块设置应用程序。

现在 SSL key 和证书在同一个 repo 中检查，这可能不是最好的方法。我正在考虑使用 hiera-eyaml 模块，然后将这些证书和 key 的加密版本放在一个 hiera 文件中。

我只是想知道这是否是大多数人这样做的方式？还是有更好的方法来处理这个？

Answer 1

我目前使用hiera-eyaml关于项目。我们使用 PKCS 加密，给每个人一个公钥以便他们进行修改，而私钥只存在于 puppet master 和一个安全的备份中。它在我们设置好之后就开始工作了，每个人很快就习惯了使用该工具来加密值。