Bagaimana Anda menangani konfigurasi terpusat dan rahasia di seluruh layanan?

Question

Accepted Answer

Dengan puluhan layanan, Anda tidak dapat mengelola konfigurasi dan rahasia secara ad hoc per penerapan. **Konfigurasi terpusat** menyimpan pengaturan dalam satu sumber yang dikelola, dan **pengelola rahasia** menyimpan nilai sensitif dengan aman.

## Konfigurasi eksternalisasi

Konfigurasi berada di luar artefak build, sehingga gambar yang sama berjalan di dev/staging/prod dengan pengaturan berbeda.

```yaml
# values injected at runtime, not baked into the image
DATABASE_URL: ${DB_URL}        # per-environment
FEATURE_NEW_CHECKOUT: "true"   # toggle without redeploy
PAYMENT_TIMEOUT_MS: "3000"
```

## Pendekatan konfigurasi

| Pendekatan | Contoh |
|---|---|
| Server konfigurasi | Spring Cloud Config, Consul |
| Bawaan-orkestrasi | Kubernetes ConfigMaps |
| Pengelola rahasia | HashiCorp Vault, AWS Secrets Manager |

## Rahasia — simpan secara terpisah

Jangan pernah menyimpan rahasia di ConfigMaps biasa atau git.

```bash
# fetch a secret at startup, short-lived, audited
export DB_PASSWORD=$(vault kv get -field=password secret/orders/db)
```

## Praktik yang baik

```text
✓ Externalize config (12-factor): config in the environment
✓ Secrets in a dedicated manager with rotation + audit logs
✓ Dynamic refresh for non-secret toggles (no redeploy)
✗ Never commit secrets to source control
```

## Mengapa ini penting

Konfigurasi terpusat memungkinkan Anda mengubah perilaku (timeouts, feature flags) dan memutar kredensial di berbagai layanan tanpa membangun kembali dan menerapkan ulang masing-masing.

Menyimpan rahasia dalam pengelola rahasia nyata — bukan dalam gambar atau git — adalah persyaratan keamanan dasar yang diskalakan dengan jumlah layanan.

Pendekatan	Contoh
Server konfigurasi	Spring Cloud Config, Consul
Bawaan-orkestrasi	Kubernetes ConfigMaps
Pengelola rahasia	HashiCorp Vault, AWS Secrets Manager