переменные гитлаба - хрень, все равно что на бумажке в столе.

переменные гитлаба - хрень, все равно что на бумажке в столе.

в контейнер ты как будешь пихать эти креды? чтобы не светить их не в секретах, не в энвах, нигде

Я в енвы пихаю. Разницы нет

Я в енвы пихаю. Разницы нет

да действительно))

и ты переделываешь

если на бутылку не присел еще

Твое приложение так или иначе имеет доступ к значению секрета. Если его скомпрометировать - нет разницы где ты хранишь свой секрет

да действительно))

А в случае с волтом ты ещё и привязываешься к внешней системе, при падении которой все твои деплои встают колом. Збс

а потом к тебе приходят безопассники и говорят что ьтебя взломали

во 1х волт умеет в кучу всего. во 2х ты можешь инжектить креды прямо в под без засвета их где либо. в 3х ты можешь централизовано это менять и легко отзывать/генерить токены в 4х ты просто легко даешь разрабам доступ на любой 'get' внутри куба, и не даешь им exec в контейнеры, все, они никогда не узнают креды от бд и прочих внешних вещей.

Меня скорее линчуют разрабы за сломанный или не интуитивный деплой из-за продукта хашикорп

обычно разрабам нафиг не нужен гет, а нужен именно exec

обычно разрабам нафиг не нужен гет, а нужен именно exec

разрабам экзес нужен только в дев, максимум qa

в прод это уже зашквар

Меня скорее линчуют разрабы за сломанный или не интуитивный деплой из-за продукта хашикорп

это на кой им exec?

если так ставить вопрос, то тогда нафиг им вообще туда доступ?

ну а если у тебя волт "упал" - то извини. ты сам дурак, что сделал систему которая упала.

Многие ещё требуют инстансы с работающим OpenSSH. Внятно объяснить зачем не могут

иногда увы нужен, это как у нас ибшники отняли права от логов ярна и узи у разрабов, работа встала вообще

нужно уметь правильно посылать в жопу

ну вот если нужен, то от гет в кубе мало толку

У меня консул видел 10 секундные таймауты там где их нет. Так шо нет уж) от хашикорп я готов ждать все

вкорячивая волт, ты делаешь 1 точку, в которой можно легко и центролизованно изменить все креды вообще для всего чего хочешь

во 1х волт умеет в кучу всего. во 2х ты можешь инжектить креды прямо в под без засвета их где либо. в 3х ты можешь централизовано это менять и легко отзывать/генерить токены в 4х ты просто легко даешь разрабам доступ на любой 'get' внутри куба, и не даешь им exec в контейнеры, все, они никогда не узнают креды от бд и прочих внешних вещей.

Нет. Ты получаешь 1) ансибл, управляющий инфрой, в котором уже есть все доступы 2) волт, в котором это все дублируется

зачему ансиблу доверять управление секретами? Он может их использовать, но раздавать то им зачем?

Банальный пример - создать бд и пользователя к ней для нового сервиса. Эти креды у тебя уже появляются в groupvars/hostvars. В зашифрованном виде. И мне или ещё кому-нибудь теперь нужно 1) продублировать их в волт 2) следить за их актуальностью в волте Ну если ты создаешь бд руками - ок.

покажи мне того человека, который посоветовал тебе такой сценираий :)

Тебя скорее взломают из-за разработчика, продавшего свой не почищенный ноут на Авито, в котором пароль VPN в файле в блокноте. Раз уж мы о безопасности говорим

покажи мне того человека, который посоветовал тебе такой сценираий :)

смысл в волте, если у тебя секреты где-то ещё?

я в принципе считаю, не готовы платить 250+ на кубер даже смотреть не стоит

У меня не приятный осадок после консула с его 10 сек таймаутами, вызывавшими смену мастера stolon-а по 5-6 раз в час

именно так, но хомяк считает, что можно за 120к уметь kubectl apply -f

Хомяк прав ) для этого мозгов не надо

Хомяк прав ) для этого мозгов не надо

Консул прекрасен. А столон сам по себе глюкало

а что у хрыча бывает дешевого? Ну кроме его вакух по 150к

Значит, можно и не платить ) а все проблемы решать invocation of Gaal 👹 шайтан

Это как джава по 30? ;)

Меня скорее линчуют разрабы за сломанный или не интуитивный деплой из-за продукта хашикорп