Zarządzanie hasłami w ciągłym wdrażaniu

Question

Wdrożyliśmy nasze wdrażanie środowiska ciągłej integracji przy użyciu TeamCity. Pracując nad procesem CI i dążąc do ciągłego wdrażania, natrafiliśmy na problem z zarządzaniem hasłami produkcyjnymi. W przypadku innych zmian w konfiguracji używamy transformacji Web.Config. Jednak tak naprawdę nie chcę upiec hasła produkcyjnego w profilu kompilacji.

Przed CI/CD, weźmiemy Web.config, użyjemy aspnet_regiis do odszyfrowania ciągów połączeń, zmiany hasła, a następnie ponownego zaszyfrowania. Oczywiście jest to podatne na błędy i wcale nie w duchu CI/CD.

Miałem kilka innych myśli, które zasadniczo dotyczyły użycia czegoś w skrypcie wdrożenia do ponownego napisania, a następnie zaszyfrowania sekcji ciągów połączenia pliku, ale wydaje się, że to musi być powszechny problem i że istnieje musi być pewnym ogólnie przyjętym rozwiązaniem. Ale do tej pory nie mogę go znaleźć. Czy istnieje "właściwa droga"?

Dzięki!

Answer 1

Jednym z możliwych rozwiązań, dostępnych od TeamCity 7.0, jest używanie parametrów pisanych na maszynie (http://confluence.jetbrains.net/display/TCD7/What%27s+New+in+TeamCity+7.0#What%27sNewinTeamCity7.0 -Typedbuildparameters). Możesz zdefiniować parametr w TeamCity hasła typu i przekazać go w jakiś sposób do skryptu budowania (jako zmiennej środowiskowej lub jako własność skryptu budowania).

TeamCity przechowuje wartości takich parametrów w swoich własnych plikach konfiguracyjnych oraz w bazie danych w postaci zaszyfrowanej. Jeśli hasło pojawi się w dzienniku kompilacji lub na stronie parametrów kompilacji, zostanie zastąpione hasłem *.

Answer 2

Użyj transformacji konfiguracji. Możesz nawet zbudować własną transformację, która może obsługiwać szyfrowanie/odszyfrowywanie. Najprostszym sposobem jest zaszyfrowanie ciągów produkcyjnych w pliku release.web.config i użycie transformacji do obsługi zastępowania łańcuchów połączeń.

http://msdn.microsoft.com/en-us/library/dd465318.aspx

http://sedodream.com/2010/09/09/ExtendingXMLWebconfigConfigTransformation.aspx

Jeśli to nie zadziała, użyj zdarzenia postbuild zadzwonić aspnet_regiis. Jeśli zdecydujesz się rozszerzyć transformację konfiguracji, możesz zrobić z nią WSZYSTKO. Klucze szyfrowania mogą znajdować się na Księżycu tak długo, jak długo możesz do nich dotrzeć.

Answer 3

Nie można zdefiniować łańcuchów połączeń IN. Czy one się zmieniają? Myślę, że po prostu ustawiłbym je w IIS dla witryny, a następnie nie instalowałem ich jako części aplikacji, lub przynajmniej preferowałem ustawienia IIS.