с .env.example тоже надо скопировать и отредактировать
Но если там будет только пароль, то это проще, тем более, что это нужно сделать только один раз при установке. Конечно, database.yaml вряд ли поменяется, но всё-таки вероятность не нулевая, а хочется максимально упростить последующее обновление и максимально исключить человеческий фактор.