我应该将部署设置保存在单独的存储库中吗？

Question

我正在学习 Salt Stack 以将我的 Python 应用程序部署到 AWS 上的各个生产阶段。现在我在一个大存储库中拥有我所有的源代码和盐状态。

将 minion 状态文件保存在我的源中是否有任何实际或安全考虑？或者我应该把它们分开，为什么？

如果我确实将我的状态文件移动到一个单独的 salt-states 存储库中，我应该在哪里保存我的master和minion配置文件，或者它们不属于版本控制？

Answer 1

皮特，

因此，将配置和代码放在一起需要注意一些事情。假设您使用 git 进行部署，这意味着您的所有代码和配置文件都将发送到每个服务器。如果你的 git 没有设置为只读，那么进入你的一台机器的人可以使用一个小的漏洞来编辑配置，这将帮助他们访问你的所有机器。

我认识一些人，他们将 ssh 密钥放在部署存储库中，这样他们就可以轻松启动新的 salt 服务器或木偶或他们使用的任何东西。同样，将应用程序和配置部署到每个服务器的问题意味着您已经再次给出了王国的密钥，这取决于您执行此操作会拉动所有服务器并且 ssh 密钥也在那里。

我设置了部署系统，在其中使用只读 git 用户来部署代码，并使我的配置远离所有服务器，只为每个服务器提供所需的配置文件。每个服务器都有只读 git 帐户的私钥。我还进行了这样的设置：在每次部署时，我都会自动轮换所有服务器的公钥。