Я обращаюсь к другим за советом о том, как они управляют управлением ключами и сертификатами со строгими именами, используемыми для подписи артефактов вашего кода во время процесса сборки / установки-создания.
Мы сохранили наш сертификат Verisignв управлении исходным кодом с разрешениями, так что только учетные записи с правами могут получить к нему доступ.Мы ожидаем перехода на Git, и я бы предпочел не хранить наш сертификат в системе контроля версий.По-моему, это высокий риск для безопасности.
Я читал о других, у которых небольшая команда разработчиков DevOps устанавливала их на свои виртуальные машины или образы докеров, к которым никто не имеет доступа, кроме них.Это также кажется потенциально опасным, но, по крайней мере, оно не будет случайно доступным для всех, кто имеет доступ к управлению источниками.
Какие предварительные решения следуют другим?Какие-либо конкретные инструменты для хранения защищенных данных и доступа к ним из ваших процессов сборки?