Với hàng chục service, bạn không thể quản lý config và secret một cách tùy tiện cho từng lần triển khai. Cấu hình tập trung giữ các thiết lập trong một nguồn được quản lý duy nhất, và secrets manager lưu trữ các giá trị nhạy cảm một cách an toàn.
Config nằm bên ngoài build artifact, nhờ đó cùng một image chạy ở dev/staging/prod với các thiết lập khác nhau.
| Cách tiếp cận | Ví dụ |
|---|---|
| Config server | Spring Cloud Config, Consul |
| Tích hợp sẵn của orchestrator | Kubernetes ConfigMaps |
| Secrets manager | HashiCorp Vault, AWS Secrets Manager |
Đừng bao giờ lưu secret trong ConfigMap dạng văn bản thuần hoặc git.
# lấy một secret lúc khởi động, sống ngắn, có audit
export DB_PASSWORD=$(vault kv get -field=password secret/orders/db)
✓ Tách config ra ngoài (12-factor): config nằm trong môi trường
✓ Secret trong một manager chuyên dụng có rotation + audit log
✓ Làm mới động cho các toggle không phải secret (không redeploy)
✗ Đừng bao giờ commit secret vào source control
Cấu hình tập trung cho phép bạn thay đổi hành vi (timeout, feature flag) và xoay vòng credential xuyên nhiều service mà không cần build lại và redeploy từng cái.
Giữ secret trong một secrets manager thực thụ — không phải trong image hay git — là một yêu cầu bảo mật nền tảng mở rộng theo số lượng service.