<div dir="ltr"><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Mar 9, 2016 at 4:27 AM, Etienne Dysli-Metref <span dir="ltr"><<a href="mailto:etienne.dysli-metref@switch.ch" target="_blank">etienne.dysli-metref@switch.ch</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div id=":1n9" class="a3s" style="overflow:hidden">How do you handle secret configuration elements? (private key files,<br>
passwords for LDAP and database access, etc.) If your image contains<br>
such elements then it becomes just as sensitive as those and is hard to<br>
distribute (enough to get it where it needs to be run without exposing<br>
it)...<br></div></blockquote><div><br></div><div>I'm not sure why an image is much more difficult than files.  Distributing that information is a difficult problem, regardless.</div><div><br></div><div>Right now, the image repository lives on the same set of hosts on the same, IAM-dedicated network.</div><div><br></div><div>If we shared infrastructure with others, it would be a greater concern.  If we ever want to get where we can readily deploy outside of our network, it will become a much greater concern.</div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div id=":1n9" class="a3s" style="overflow:hidden">Our "get a new VM" process has at least one manual step so it's not<br>
instantaneous, but once Puppet takes over we can quickly deploy changes.<br>
I agree that having less VMs to maintain is a benefit though.<br>
<br>
Your load balancers do terminate the TLS connections I guess, since they<br>
look at cookies for routing. This removes the keys needed for HTTPS from<br>
Docker images.</div></blockquote></div><br>For many of our services, we re-encrypt the connection.  However, it is correct that we do not re-encrypt the connections going back to the IdP.</div><div class="gmail_extra"><br></div><div class="gmail_extra">Yet another challenge if we get to the point where we want to distribute images and run containers elsewhere.  Fortunately, those are not my current problems.</div><div class="gmail_extra"><br></div><div class="gmail_extra">Greg</div></div>