Devo usare una password casuale per il mio utente tecnico?

Sto cercando di trovare il modo più intelligente per gestire la password di root nel mio prodotto.

Per motivi preesistenti, ho bisogno di avere un account tecnico. I miei servizi creano un token associato a questo account direttamente nel DB per l'autenticazione e l'accesso al resto della piattaforma. Ho cercato di trovare qualche documentazione online per assicurarmi di avere a che fare con la sua password nel modo più sicuro, ma non sono riuscito a trovare una risposta diretta.

Ecco le due soluzioni che ho trovato:

• Imposta la password su una stringa casuale ad ogni avvio del server, collegala alla console nel caso in cui ne avessimo effettivamente bisogno un giorno

• Passalo come variabile di ambiente TECHNICAL_PASSWORD e impostalo ad ogni avvio per assicurarti che sia sempre aggiornato

Si noti che la password non viene mai utilizzata, quindi non è tecnicamente necessario conoscerla.

In termini di buone pratiche, cosa consiglieresti?