使用Puppet和Hiera保护SSL密钥（用于生产Web应用程序）

Question

我想知道为Web应用程序保护SSL密钥和证书的最佳方法是什么。我正在使用角色/配置文件模式。这是场景：

• 我有一个网络应用程序。有一个Puppet模块可以设置应用程序。此模块还设置运行所需的SSL密钥和证书。这些文件在app / files目录下的同一个repo（不安全）中提交，然后使用file类型放置在正确的位置。
• 有一个配置文件清单，可以将堆栈放在一起用于此应用程序 - 安装和设置apache，安装和设置memcached，安装php并使用上述模块设置应用程序。

现在，在同一个仓库中检查SSL密钥和证书，这可能不是最好的方法。我正在考虑使用hiera-eyaml模块，然后将这些证书和密钥的加密版本放在hiera文件中。

我只是想知道这是否是大多数人这样做的方式？或者有更好的方法来处理这个问题吗？

Answer 1

我目前在项目上使用hiera-eyaml。我们使用PKCS加密，为每个人提供公钥，以便他们可以进行修改，私钥只存在于puppet master和安全备份中。在我们完成设置后它刚刚工作，每个人都很快习惯使用工具来加密值。