डॉकर कम्पोज़ में निर्माण करते समय सुरक्षित रहस्य

नोट : यदि आपको लगता है कि "केवल पर्यावरण चर का उपयोग क्यों नहीं किया जाता है?" जिनका उपयोग छवि बनाते समय रनवे में रहस्यों के लिए किया जाता है। यह आलेख उन बिल्ड रहस्यों पर केंद्रित है जो डॉकटर फ़ाइल का उपयोग करके एक छवि बनाते समय उपयोग किए जाते हैं।

अपने dockerfile का उपयोग करने के लिए दो विकल्प

version: "3.7"
services:
  yourapp:
    build:
      context: "."	

$ docker-compose up

$ docker build -t myimage .
$ docker push myimage

पहली कोशिश (असुरक्षित)

#!/bin/bash
set -euo pipefail

echo "Secret is: $THEPASSWORD"

नोट : हमारी चर्चा के दायरे से परे, मैं यह कहना चाहता हूं कि इस लेख में डॉकर फ़ाइलों का उपयोग सबसे अच्छा अभ्यास नहीं है, हालांकि, अत्यधिक जटिलता लेख के मुख्य अर्थ को व्यक्त करने में हस्तक्षेप कर सकती है।

• यदि आपको DIY की आवश्यकता है: उदाहरण और लिंक के साथ एक विस्तृत सूची
• यदि आपको जल्द से जल्द एक कार्यशील संस्करण की आवश्यकता है: एक टेम्पलेट जो सर्वोत्तम प्रथाओं को ध्यान में रखता है

FROM python:3.8-slim-buster
# Using ARG for build secrets is INSECURE!
ARG THEPASSWORD
COPY use_secret.sh .
RUN ./use_secret.sh

version: "3.7"
services:
  yourapp:
    build:
      context: "."
      args:
        THEPASSWORD: "s3kr!t"

$ docker-compose build | grep Secret
Secret is: s3kr!t

$ docker build -t myimage --build-arg THEPASSWORD=s3krit . | grep Secret
Secret is: s3krit

$ docker history myimage
IMAGE               CREATED              CREATED BY                                      SIZE
c224231ec30b        47 seconds ago       |1 THEPASSWORD=s3krit /bin/sh -c ./use_secre…   0B
6aef62acf0db        48 seconds ago       /bin/sh -c #(nop) COPY file:7aa28bbe6595e0d5…   62B
f88b19ca8e65        About a minute ago   /bin/sh -c #(nop)  ARG THEPASSWORD              0B
...

बिल्डकिट सीक्रेट (आंशिक समाधान)

• डॉकर कम्पोज़ रहस्यों को पारित करने के लिए बिल्ड तर्कों का उपयोग करना जारी रखेगा;
• डॉक बिल्ड का उपयोग करके निर्मित एक उत्पादन छवि के लिए, हम रहस्यों को पारित करने के लिए बिल्डकिट का उपयोग करते हैं।

#!/bin/bash
set -euo pipefail
if [ -f /run/secrets/thepassword ]; then
   export THEPASSWORD=$(cat /run/secrets/thepassword)
fi

echo "Secret is: $THEPASSWORD"

# syntax = docker/dockerfile:1.0-experimental
FROM python:3.8-slim-buster
# Only use the build arg for local development:
ARG THEPASSWORD
COPY use_secret.sh .
# Mount the secret to /run/secrets:
RUN --mount=type=secret,id=thepassword ./use_secret.sh

version: "3.7"
services:
  yourapp:
    build:
      context: "."
      args:
        THEPASSWORD: "s3kr!t"

$ export DOCKER_BUILDKIT=1
$ export COMPOSE_DOCKER_CLI_BUILD=1
$ echo 's3krit' > /tmp/mypassword

$ docker-compose build --progress=plain \
    --no-cache 2>&1 | grep Secret
#12 0.347 Secret is: s3kr!t

$ docker build --no-cache -t myimage \
    --secret id=thepassword,src=/tmp/mypassword \
    --progress=plain . 2>&1 | grep Secret
#12 0.359 Secret is: s3krit

क्या ये सुरक्षित है?

$ docker history myimage
IMAGE               CREATED             CREATED BY                                      SIZE
a77f3c32b723        25 seconds ago      RUN |1 THEPASSWORD= /bin/sh -c ./use_secret.…   0B
<missing>           25 seconds ago      COPY use_secret.sh . # buildkit                 160B
...