DVMS Co.,Ltd

Nhóm của chúng tôi tránh đặt thông tin đăng nhập vào kho, vì vậy điều đó có nghĩa là chúng không được phép trong Dockerfile. Thực hành tốt nhất của chúng tôi trong các ứng dụng là sử dụng tín dụng từ các biến môi trường.

Chúng tôi giải quyết vấn đề này bằng cách sử dụng docker-compose.

Trong docker-compose.yml, bạn có thể chỉ định tệp có chứa biến môi trường cho vùng chứa:

 env_file:
- .env

Đảm bảo thêm .env đến .gitignore, sau đó đặt thông tin xác thực trong .env tệp như:

SOME_USERNAME=myUser
SOME_PWD_VAR=myPwd

Lưu trữ .env tập tin cục bộ hoặc ở một vị trí an toàn, nơi phần còn lại của nhóm có thể lấy nó.

Xem: https://docs.docker.com/compose/environment-variables/#/the-env-file

Bạn không bao giờ nên thêm thông tin đăng nhập vào vùng chứa trừ khi bạn OK phát tín hiệu cho bất kỳ ai có thể tải xuống hình ảnh. Đặc biệt, làm và ADD creds và sau đó RUN rm creds không an toàn vì tệp tin creds vẫn ở hình ảnh cuối cùng trong lớp hệ thống tệp trung gian. Thật dễ dàng cho bất kỳ ai có quyền truy cập vào hình ảnh để trích xuất hình ảnh đó.

Các giải pháp điển hình tôi đã nhìn thấy khi bạn cần creds để kiểm tra phụ thuộc và như vậy là sử dụng một container để xây dựng khác. Nghĩa là, thông thường bạn có một số môi trường xây dựng trong vùng chứa cơ sở của mình và bạn cần phải gọi điều đó để tạo vùng chứa ứng dụng của mình. Vì vậy, giải pháp đơn giản là thêm nguồn ứng dụng của bạn và sau đó RUN các lệnh xây dựng. Điều này là không an toàn nếu bạn cần sự tín nhiệm trong đó RUN. Thay vào đó, những gì bạn làm là đặt nguồn của bạn vào một thư mục cục bộ, chạy (như trong docker run) vùng chứa để thực hiện bước xây dựng với thư mục nguồn cục bộ được gắn kết dưới dạng ổ đĩa và các tín hiệu được bơm hoặc được gắn kết như một ổ đĩa khác. Khi bước xây dựng hoàn tất, bạn xây dựng vùng chứa cuối cùng của mình bằng cách đơn giản ADDing thư mục nguồn cục bộ hiện chứa các tạo phẩm được xây dựng.

Tôi hy vọng Docker thêm một số tính năng để đơn giản hóa tất cả điều này!

Cập nhật: trông giống như phương thức tiếp theo sẽ có các bản dựng lồng nhau. Tóm lại, dockerfile sẽ mô tả một container đầu tiên được sử dụng để xây dựng môi trường thời gian chạy và sau đó là một build container lồng nhau thứ hai có thể lắp ráp tất cả các mảnh vào trong thùng chứa cuối cùng. Bằng cách này, công cụ xây dựng thời gian không nằm trong vùng chứa thứ hai. Đây là một ứng dụng Java, nơi bạn cần JDK để xây dựng ứng dụng nhưng chỉ có JRE để chạy nó. Có một số đề xuất được thảo luận, tốt nhất để bắt đầu từ https://github.com/docker/docker/issues/7115 và làm theo một số liên kết cho các đề xuất thay thế.

Với Docker v1.9 bạn có thể dùng Hướng dẫn ARG để tìm nạp các đối số được truyền bởi dòng lệnh tới hình ảnh trên xây dựng hành động. Đơn giản chỉ cần sử dụng --build-arg cờ. Vì vậy, bạn có thể tránh để giữ cho mật khẩu rõ ràng (hoặc thông tin hợp lý khác) trên Dockerfile và vượt qua chúng trên bay.

nguồn: https://docs.docker.com/engine/reference/commandline/build/  http://docs.docker.com/engine/reference/builder/#arg

Thí dụ:

Dockerfile

FROM busybox
ARG user
RUN echo "user is $user"

xây dựng lệnh hình ảnh

docker build --build-arg user=capuccino -t test_arguments -f path/to/dockerfile .

trong khi xây dựng nó in

$ docker build --build-arg user=capuccino -t test_arguments -f ./test_args.Dockerfile .

Sending build context to Docker daemon 2.048 kB
Step 1 : FROM busybox
 ---> c51f86c28340
Step 2 : ARG user
 ---> Running in 43a4aa0e421d
 ---> f0359070fc8f
Removing intermediate container 43a4aa0e421d
Step 3 : RUN echo "user is $user"
 ---> Running in 4360fb10d46a
**user is capuccino**
 ---> 1408147c1cb9
Removing intermediate container 4360fb10d46a
Successfully built 1408147c1cb9

Hy vọng nó giúp! Tạm biệt.

Để thay thế cho việc sử dụng các biến môi trường, điều này có thể lộn xộn nếu bạn có nhiều thứ trong số đó, là sử dụng khối lượng để tạo một thư mục trên máy chủ có thể truy cập trong vùng chứa.

Nếu bạn đặt tất cả thông tin đăng nhập của mình dưới dạng tệp trong thư mục đó, khi đó vùng chứa có thể đọc tệp và sử dụng chúng như mong muốn.

Ví dụ:

$ echo "secret" > /root/configs/password.txt
$ docker run -v /root/configs:/cfg ...

In the Docker container:

# echo Password is `cat /cfg/password.txt`
Password is secret

Nhiều chương trình có thể đọc thông tin đăng nhập của họ từ một tệp riêng biệt, vì vậy theo cách này, bạn có thể trỏ chương trình đến một trong các tệp.

Cách tiếp cận của tôi dường như hoạt động, nhưng có lẽ là ngây thơ. Cho tôi biết tại sao nó sai.

Các ARG được thiết lập trong quá trình xây dựng docker được tiếp xúc bởi tiểu sử lịch sử, do đó không đi đến đó. Tuy nhiên, khi chạy một thùng chứa, các biến môi trường được đưa ra trong lệnh chạy có sẵn cho vùng chứa, nhưng không phải là một phần của hình ảnh.

Vì vậy, trong Dockerfile, hãy thiết lập không liên quan đến dữ liệu bí mật. Đặt CMD giống như /root/finish.sh. Trong lệnh chạy, sử dụng các biến môi trường để gửi dữ liệu bí mật vào vùng chứa. finish.sh sử dụng các biến cơ bản để hoàn thành các tác vụ xây dựng.

Để quản lý dữ liệu bí mật dễ dàng hơn, hãy đặt nó vào một tệp được trình docker nạp bằng --env-file công tắc điện. Tất nhiên, giữ bí mật tập tin. .gitignore và như vậy.

Cho tôi, finish.sh chạy chương trình Python. Nó kiểm tra để đảm bảo rằng nó chưa chạy trước đó, sau đó kết thúc quá trình thiết lập (ví dụ: sao chép tên cơ sở dữ liệu vào Django's settings.py).

Trong khi tôi hoàn toàn đồng ý thì không có giải pháp đơn giản nào. Có tiếp tục là một điểm thất bại duy nhất. Hoặc là dockerfile, vvd, v.v. Apcera có một kế hoạch trông giống như sidekick - xác thực kép. Nói cách khác, hai thùng chứa không thể nói trừ khi có quy tắc cấu hình Apcera. Trong bản demo của họ, uid / pwd đã ở trong tình trạng rõ ràng và không thể được tái sử dụng cho đến khi quản trị viên cấu hình liên kết. Để làm việc này, tuy nhiên, nó có thể có nghĩa là vá Docker hoặc ít nhất là các plugin mạng (nếu có một điều như vậy).

Có một lệnh docker mới [1] để quản lý "bí mật", nhưng nó chỉ hoạt động cho các cụm đám đông.

docker service create
--name my-iis
--publish target=8000,port=8000
--secret src=homepage,target="\inetpub\wwwroot\index.html"
microsoft/iis:nanoserver 

[1]https://docs.docker.com/engine/swarm/secrets/

giải pháp chỉ thời gian chạy

docker-compose cũng cung cấp một giải pháp chế độ không swarm (kể từ v1.11: Bí mật sử dụng gắn kết gắn kết).

Các bí mật được gắn dưới dạng tệp bên dưới /run/secrets/ bởi docker-compose. Điều này giải quyết vấn đề tại thời gian chạy (chạy container), nhưng không phải lúc xây dựng (xây dựng hình ảnh), bởi vì /run/secrets/ không được gắn ở thời gian xây dựng. Hơn nữa hành vi này phụ thuộc vào việc chạy container với docker-compose.

Thí dụ:

Dockerfile

FROM alpine
RUN cat /run/secrets/password
CMD sleep inifinity

docker-compose.yml

version: '3.1'
services:
  app:
    build: .
    secrets:
      - password

secrets:
  password:
    file: password.txt

Để xây dựng, thực hiện:

docker-compose up -d

Đọc thêm:

• blog của mikesir87 - Sử dụng bí mật của Docker trong quá trình phát triển

Các Phương pháp ứng dụng 12 yếu tố cho biết, mọi cấu hình sẽ được lưu trữ trong các biến môi trường.

Docker soạn có thể làm thay thế biến trong cấu hình, do đó có thể được sử dụng để chuyển mật khẩu từ máy chủ đến trình docker.

(Dịch tự động bởi: paginaswebpublicidad )