In una presentazione estremamente interessante al Puppet Camp di Londra, Tomas Doran ha suggerito un approccio piuttosto radicale per mantenere tutto automatizzato gestendo tonnellate di container Docker con Puppet.
Essendo una persona attenta alla sicurezza, mi piace l'idea di Docker, poiché tutto viene eseguito nel proprio LXC e configuro tutti i servizi in modo che vengano eseguiti come non%% di utenti.
Come persona attenta all'amministrazione dei sistemi, mi piace l'idea della gestione di Puppet, dato che posso mantenere tutta la configurazione in un repository Git e persino mantenere ambienti diversi, il tutto nel controllo della versione. Il vantaggio è anche che ho ambienti in grado di strappare-giù (è una parola?) Che posso teoricamente ricostruire da zero senza troppi interventi manuali.
Tuttavia, ci sono cose che vorrei non da conservare in un repository Git, ovvero certificati SSL, password di database, ecc.
In che modo le organizzazioni che gestiscono enormi quantità di macchine (come il CERN) utilizzano servizi di provisioning come Puppet e Chef pur mantenendo la sicurezza? Certe cose sembrano facili, come imporre autorizzazioni sui file, ma altre cose sembrano difficili, come l'installazione di chiavi SSL o chiavi host SSH, che richiede un intervento manuale.