Управление паролями при непрерывном развертывании

Мы уже хорошо освоили развертывание среды непрерывной интеграции с использованием TeamCity. По мере прохождения процесса CI и перехода к непрерывному развертыванию мы столкнулись с проблемой того, как мы управляем производственными паролями. Для других изменений в конфигурации мы используем преобразование Web.Config. Однако я действительно не хочу запекать производственный пароль в профиле сборки.

До CI / CD мы брали Web.config, использовали aspnet_regiis для расшифровки строк подключения, изменения пароля и повторного шифрования. Очевидно, что это подвержено ошибкам и совсем не в духе CI / CD.

У меня было несколько других мыслей, которые в основном касались использования чего-то в сценарии развертывания для перезаписи и последующего шифрования раздела строк подключения в файле, но похоже, что это обычная проблема, и что она должна быть каким-то общепринятым решением. Но пока не могу найти. Есть ли «правильный путь»?

Спасибо!