我們經常要向容器傳遞敏感信息,最常見的莫過於密碼了。比如:
docker run -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql
在啟動 MySQL 容器時我們通過環境變量 MYSQL_ROOT_PASSWORD
設置了 MySQL 的管理員密碼。不過密碼是以明文的形式寫在 docker run
命令中,有潛在的安全隱患。
為了解決這個問題,docker swarm 提供了 secret 機制,允許將敏感信息加密后保存到 secret 中,用戶可以指定哪些容器可以使用此 secret。
如果使用 secret 啟動 MySQL 容器,方法是:
-
在 swarm manager 中創建 secret
my_secret_data
,將密碼保存其中。
echo "my-secret-pw" | docker secret create my_secret_data -
-
啟動 MySQL service,並指定使用 secret
my_secret_data
。
docker service create \
--name mysql \
--secret source=my_secret_data,target=mysql_root_password \
-e MYSQL_ROOT_PASSWORD_FILE="/run/secrets/mysql_root_password" \
mysql:latest

① source 指定容器使用 secret 后,secret 會被解密並存放到容器的文件系統中,默認位置為 /run/secrets/<secret_name>。--secret source=my_secret_data,target=mysql_root_password
的作用就是指定使用 secret my_secret_data
,然后把器解密后的內容保存到容器 /run/secrets/mysql_root_password
文件中,文件名稱 mysql_root_password
由 target
指定。
② 環境變量 MYSQL_ROOT_PASSWORD_FILE
指定從 /run/secrets/mysql_root_password
中讀取並設置 MySQL 的管理員密碼。
這里大家可能有這么兩個疑問:
-
問:在第一步創建 secret 時,不也是使用了明文嗎?這跟在環境變量中直接指定密碼有什么不同呢?
答:在我們的例子中創建 secret 和使用 secret 是分開完成的,其好處是將密碼和容器解耦合。secret 可以由專人(比如管理員)創建,而運行容器的用戶只需使用 secret 而不需要知道 secret 的內容。也就是說,例子中的這兩個步驟可以由不同的人在不同的時間完成。
-
問:secret 是以文件的形式 mount 到容器中,容器怎么知道去哪里讀取 secret 呢?
答:這需要 image 的支持。如果 image 希望它部署出來的容器能夠從 secret 中讀取數據,那么此 image 就應該提供一種方式,讓用戶能夠指定 secret 的位置。最常用的方法就是通過環境變量,Docker 的很多官方 image 都是采用這種方式。比如 MySQL 鏡像同時提供了 MYSQL_ROOT_PASSWORD
和 MYSQL_ROOT_PASSWORD_FILE
兩個環境變量。用戶可以用 MYSQL_ROOT_PASSWORD
顯示地設置管理員密碼,也可以通過 MYSQL_ROOT_PASSWORD_FILE
指定 secret 路徑。
下一節我們繼續討論 Secret。
書籍:
1.《每天5分鍾玩轉Docker容器技術》
https://item.jd.com/16936307278.html
2.《每天5分鍾玩轉OpenStack》
https://item.jd.com/12086376.html