厨师环境中的加密数据库

Question

我们使用加密数据标签管理一些关键信息，例如ssl证书：databags/ssl。

我们更愿意只让一组非常有限的人访问解密这些加密数据字的秘密，以避免我们的私钥到处都是。只有人们使用刀具引导和部署服务器才能访问。

数据库不仅限于environment，而是全局的。所以我们要么必须让我们的食谱在环境上切换并选择不同的数据库，要么我们需要加密数据库的一部分：only certain entries：

{
  "id": "some_data_bag_item",
  "production" : {
    # Hash with all your data here
  },
  "testing" : {
    # Hash with all your data here
  }
}

bag_item[node.chef_environment]["some_other_key"]

您如何管理加密数据包？你在哪里保守这个秘密，你怎么避免把秘密传给任何一个厨师？