Илья Константинов

В итоге по совету Александр Карабанов буду хранить в GitLab CI маскированных переменных как base64, а декодировать в момент развертывания сервиса:

(примеры намеренно упрощены)
Dockerfile:

FROM nginx:1.21

COPY nginx/bin/40-ssl-decoding.sh /docker-entrypoint.d/
RUN  chmod +x /docker-entrypoint.d/40-ssl-decoding.sh

40-ssl-decoding.sh:

#!/bin/sh

echo "Decoding SSL certs...";

echo $SSL_KEY | base64 -d >> /etc/ssl/ssl.key;
echo $SSL_CRT | base64 -d >> /etc/ssl/ssl.crt;

echo "SSL certs decoded!";