Базовая дисциплина простая: параметры приложения лежат в env-file или systemd unit, секреты не попадают в репозиторий, а фактическое окружение проверяется после запуска.
Env-file как контракт
Файл окружения должен быть коротким и понятным: адреса сервисов, режим работы, feature flags. Пароли лучше вынести в secret store или минимум в файл с отдельными правами.
podman run --env-file app.env --name app localhost/app:latest
podman exec app env | sortSystemd для постоянного сервиса
Если контейнер должен переживать reboot, конфиг лучше закрепить в unit-файле или quadlet. Тогда запуск перестает зависеть от истории терминала администратора.
Проверка результата
После изменения env проверяют не только `podman inspect`, но и поведение процесса: health endpoint, логи старта и отсутствие fallback-значений по умолчанию.