Коммитьте секреты в Git, зашифрованными, с SOPS и age

Почти у каждого проекта, которого я касался, один и тот же флоу: создать .env, забить туда пароль от базы и API-ключи и тут же добавить файл в .gitignore, чтобы в репозиторий он не попал никогда.

Безопасностью при таком подходе конечно особо не пахнет. Какое-то время назад я искал что-то получше и наткнулся на git-crypt, который хотя бы возвращал секреты в репозиторий. Работало, но всегда было слегка не то (зашифрованные файлы превращаются в непрозрачные бинарные блобы, а диффы становятся бесполезными). Я искал дальше, и сейчас держу секреты внутри Git двумя маленькими утилитами, которые справляются куда лучше: SOPS и age. Если вы ведёте homelab или небольшую инфру и не хотите (или вам не нужно) поднимать целый стек управления секретами только чтобы спрятать пароль от базы, эта заметка для вас.

https://telegra.ph/Kommitte-sekrety-v-Git-zashifrovannymi-s-SOPS-i-age-10-24

#ит_статьи #devops #linux #sops #age #secrets