问题描述
需要在多台运行Ubuntu的服务器上管理密码，这些密码用于访问数据库、第三方电子邮件提供商、日志服务等。目前，用户的做法是将认证数据存储在每台服务器上的文件中，并由在重新启动时运行的进程设置为只读。这个进程将认证数据推送到环境变量中，其他进程可以在需要时读取。然而，这种方法需要在每台服务器上手动更新认证文件，而且将凭据存储在环境变量中存在安全隐患。用户希望找到一种更安全、更方便的方法来管理密码。
解决方案
在多台服务器上安全地管理密码的最佳方式之一是使用”密码管理工具”，这些工具旨在安全地存储和分发敏感数据，如数据库密码、API 密钥等。以下是一些可考虑的密码管理工具以及相应的解决方案。
Vault
Vault 是一个由HashiCorp开发的开源工具，专门用于安全地存储和访问敏感数据。它可以用于管理密码、API 密钥、数据库凭据等。Vault 提供了许多功能，如动态凭据生成、访问控制、审计日志等。你可以在每个服务器上安装 Vault 客户端，并使用 Vault 服务器来管理敏感数据。以下是如何使用 Vault 的一般步骤：
- 在一个服务器上部署 Vault 服务器，这将成为你的敏感数据存储中心。
- 使用 Vault 提供的命令行工具或 API，在 Vault 中创建适当的“凭据存储”（Secrets Engine）。
- 配置你的服务器应用程序，使其能够通过 Vault 客户端来检索和使用凭据。
以下是一个使用 Vault 的基本步骤示例：
- 安装并配置 Vault 服务器。
- 使用 Vault CLI 在 Vault 中创建一个用于存储数据库密码的“数据库凭据存储”。
- 在每台服务器上安装 Vault 客户端，并配置服务器应用程序使用 Vault 客户端来检索数据库密码。
注意：Vault 的设置和使用可能需要一些时间和学习成本。确保仔细阅读官方文档以及相关指南，以确保正确配置和使用。
Docker-compose 和 Keyctl/Gkeytool
如果你寻求更轻量级的解决方案，可以考虑使用 Docker-compose 结合 Keyctl 或 Gkeytool。
- 使用 Docker-compose 来管理你的应用程序容器。
- 在容器中使用 Keyctl 或 Gkeytool 来管理密码和凭据。
- 确保每个容器只能访问自己的凭据，从而提高安全性。
注意：这种方法需要你有一定的Linux系统和安全性知识，并且需要仔细配置容器和凭据的访问权限。
无论你选择哪种方法，都应该遵循最佳实践来确保敏感数据的安全存储和分发。请注意，不同的解决方案适用于不同的需求和场景，确保选择最适合你环境的解决方案。
总结
在多台服务器上安全地管理密码是一个关键的安全问题。使用密码管理工具，如Vault，可以帮助你更好地管理和保护敏感数据。另外，结合Docker-compose和Keyctl/Gkeytool等方法也可以实现密码的安全管理。选择合适的方法取决于你的需求和技术水平。在实施任何解决方案之前，请务必详细阅读相关文档和指南，确保正确配置和操作。