Jak korzystać z tajemnic dokerów bez klastra roju?

Obecnie jesteśmy uruchomioną aplikacją na pojedynczym kontenerze dokowanym, aplikacja potrzebuje różnego rodzaju poufnych danych, aby były przekazywane jako zmienne środowiskowe,

Umieszczam je w poleceniu uruchomienia, aby nie kończyły się na obrazie, a następnie w repozytorium, jednak otrzymuję bardzo niezabezpieczone polecenie uruchamiania,

Teraz rozumiem, że istnieją tajemnice dokerów, ale jak mogę ich używać bez wdrażania klastra? czy jest jakiś inny sposób zabezpieczenia tych danych?

Z poważaniem,

Nie możesz ... To nie obsługuje tajemnic bez Roju. Chyba że „może” być „rojem” za pomocą tylko jednego węzła.

Innym rozwiązaniem byłoby, jak sądzę, użycie oprogramowania skarbca innej firmy, takiego jak to:

https://www.vaultproject.io/

Ale aby użyć sekretów w swoich kontenerach z Vault, musisz przeczytać dokument.

Mam nadzieję, że doprowadzi Cię to do właściwej ścieżki, aby rozpocząć.

Tak , możesz użyć tajemnic, jeśli używasz pliku redagowania . (Nie musisz biegać w roju).

Używasz pliku komponowania z dokerem-komponuj : w pliku docker-compose.yml znajduje się dokumentacja dotycząca „sekretów” .

Przerzuciłem się na komponowanie dokerów, ponieważ chciałem używać sekretów. Cieszę się, że to zrobiłem, wydaje się znacznie czystsze. Każda usługa jest mapowana do kontenera. A jeśli kiedykolwiek chcesz zamiast tego przejść do roju, to po prostu już tam jesteś.

Uwaga: Sekrety nie są ładowane do środowiska kontenera, są montowane w / run / secrets /

Oto przykład:

1) Struktura projektu:

|
|---    docker-compose.yml
|---    super_duper_secret.txt

2) zawartość docker-compose.yml:

version: "3.6"

services:

  my_service:
    image: centos:7
    entrypoint: "cat /run/secrets/my_secret"
    secrets:
      - my_secret

secrets:
  my_secret:
    file: ./super_duper_secret.txt

3) zawartość super_duper_secret.txt:

Whatever you want to write for a secret really.

4) Uruchom to polecenie z katalogu głównego projektu, aby sprawdzić, czy kontener ma dostęp do Twojego klucza tajnego (Docker musi być uruchomiony, a komponent dokujący-zainstalowany):

docker-compose up --build my_service

Powinieneś zobaczyć swój kontener wyprowadzający swój sekret.