如何将Alertmanager的密码存储在独立文件中以安全共享配置？

完全可以通过两种常用方式实现敏感信息与主配置文件分离，既保证公共仓库的配置可复用，又避免敏感数据泄露：

方法1：通过环境变量加载敏感值 #

• 将Alertmanager主配置文件中的敏感内容替换为环境变量占位符，例如：

  # alertmanager.yml（提交到仓库的版本）
  receivers:
  - name: 'webhook-receiver'
    webhook_configs:
    - url: 'https://example.com/webhook'
      http_config:
        bearer_token: '${WEBHOOK_TOKEN}'
  

• 创建独立的敏感信息文件（比如.env），写入实际的敏感值：

  # .env（加入.gitignore，不提交）
  WEBHOOK_TOKEN=your_actual_secret_token
  

• 启动Alertmanager时添加--config.expand-env参数，同时加载环境变量：

  # 本地启动
  source .env && alertmanager --config.file=alertmanager.yml --config.expand-env
  
  # Docker启动
  docker run -d \
    --name alertmanager \
    --env-file .env \
    -v $(pwd)/alertmanager.yml:/etc/alertmanager/alertmanager.yml \
    prom/alertmanager --config.expand-env
  

方法2：使用模板语法直接读取敏感文件 #

Alertmanager支持Go模板语法，可直接在配置中引用外部文件内容：

• 创建单独的敏感文件（比如secrets/webhook_token.txt），文件内仅写入敏感值（无需引号）
• 将secrets/目录加入.gitignore，禁止提交到仓库
• 修改主配置文件，通过模板语法读取文件内容：

  # alertmanager.yml（提交到仓库的版本）
  receivers:
  - name: 'webhook-receiver'
    webhook_configs:
    - url: 'https://example.com/webhook'
      http_config:
        bearer_token: '{{ template "file" "secrets/webhook_token.txt" }}'
  

• 启动Alertmanager时确保工作目录能访问到敏感文件，或使用绝对路径引用文件即可。

注意事项 #

• 给敏感文件设置严格权限（如chmod 600 .env secrets/*），防止其他用户读取
• 可以在仓库中提交示例配置文件（如alertmanager.yml.example），将敏感值替换为占位符，方便他人快速复用

内容的提问来源于stack exchange，提问作者serge1peshcoff