Kako upravljate centralizirano konfiguro in skrivnosti v več storitvah?

Question

Accepted Answer

Z ducatom storitev ne morete upravljati konfiguro in skrivnosti ad hoc za vsako razporeditev. **Centralizirana konfiguracija** hrani nastavitve na enem upravljanem viru, **upravljalniki skrivnosti** pa shranjujejo občutljive vrednosti varno.

## Eksternalizirana konfiguracija

Konfiguracija se nahaja zunaj artefakta gradnje, tako da ista slika teče v dev/staging/prod z različnimi nastavitvami.

```yaml
# values injected at runtime, not baked into the image
DATABASE_URL: ${DB_URL}        # per-environment
FEATURE_NEW_CHECKOUT: "true"   # toggle without redeploy
PAYMENT_TIMEOUT_MS: "3000"
```

## Pristopi k konfiguraciji

| Pristop | Primer |
|---|---|
| Konfiguracijski strežnik | Spring Cloud Config, Consul |
| Narodno za orkestratorje | Kubernetes ConfigMaps |
| Upravljalnik skrivnosti | HashiCorp Vault, AWS Secrets Manager |

## Skrivnosti — ločite jih

Nikoli ne shranjujte skrivnosti v navadne ConfigMaps ali git.

```bash
# fetch a secret at startup, short-lived, audited
export DB_PASSWORD=$(vault kv get -field=password secret/orders/db)
```

## Dobre prakse

```text
✓ Externalize config (12-factor): config in the environment
✓ Secrets in a dedicated manager with rotation + audit logs
✓ Dynamic refresh for non-secret toggles (no redeploy)
✗ Never commit secrets to source control
```

## Zakaj je to pomembno

Centralizirana konfiguracija vam omogoča spremembo vedenja (časovne omejitve, zastavice funkcij) in rotacijo poverilnic v številnih storitvah brez ponovnega gradenja in ponovne razporeditve vsake posebej.

Hranjevanje skrivnosti v resničnem upravljalniku skrivnosti — ne v slikah ali git — je osnovna zahteva za varnost, ki se skalira s številom storitev.

Pristop	Primer
Konfiguracijski strežnik	Spring Cloud Config, Consul
Narodno za orkestratorje	Kubernetes ConfigMaps
Upravljalnik skrivnosti	HashiCorp Vault, AWS Secrets Manager