Kako upravljate centraliziranom konfiguracijom i tajnama u različitim servisima?

Question

Accepted Answer

Sa desecima servisa, ne možete upravljati konfiguracijom i tajnama ad hoc za svaku implementaciju. **Centralizirana konfiguracija** čuva postavke u jednom upravljanom izvoru, a **upravitelji tajni** sigurno skladište osjetljive vrijednosti.

## Eksternizirani konfiguracija

Konfiguracija se nalazi izvan artefakta za izgradnju, pa ista slika radi u dev/staging/prod s različitim postavkama.

```yaml
# values injected at runtime, not baked into the image
DATABASE_URL: ${DB_URL}        # per-environment
FEATURE_NEW_CHECKOUT: "true"   # toggle without redeploy
PAYMENT_TIMEOUT_MS: "3000"
```

## Pristupi konfiguraciji

| Pristup | Primjer |
|---|---|
| Server konfiguracije | Spring Cloud Config, Consul |
| Orkestratorski-nativna | Kubernetes ConfigMaps |
| Upravitelj tajni | HashiCorp Vault, AWS Secrets Manager |

## Tajne — čuvajte ih odvojeno

Nikada ne pohranjujte tajne u običnim ConfigMaps ili git.

```bash
# fetch a secret at startup, short-lived, audited
export DB_PASSWORD=$(vault kv get -field=password secret/orders/db)
```

## Dobre prakse

```text
✓ Externalize config (12-factor): config in the environment
✓ Secrets in a dedicated manager with rotation + audit logs
✓ Dynamic refresh for non-secret toggles (no redeploy)
✗ Never commit secrets to source control
```

## Zašto je to važno

Centralizirana konfiguracija vam omogućava promjenu ponašanja (timeouts, feature flags) i rotaciju kredencijala u više servisa bez potrebe za ponovno izgradnjom i redeploy-om svakog od njih.

Čuvanje tajni u pravom upravitelju tajni — ne u slikama ili git — je temeljni sigurnosni zahtjev koji se skalira s brojem servisa.

Pristup	Primjer
Server konfiguracije	Spring Cloud Config, Consul
Orkestratorski-nativna	Kubernetes ConfigMaps
Upravitelj tajni	HashiCorp Vault, AWS Secrets Manager