Wie verwalten Sie geheime Werte mit Docker-Compose v3.1?

Version 3.1 der Docker-compose.yml-Spezifikation bietet Unterstützung für Geheimnisse .

Ich habe es versucht:

version: '3.1'

services:
  a: 
    image: tutum/hello-world
  secret: 
    password: the_password
  b:
    image: tutum/hello-world

$ docker-compose up kehrt zurück:

Unsupported config option for services.secret: 'password'

Wie können wir die Geheimhaltungsfunktion in der Praxis nutzen?

Den entsprechenden Abschnitt können Sie der offiziellen Dokumentation entnehmen .

Um Geheimnisse zu nutzen, müssen Sie Ihrer docker-compose.ymlDatei zwei Dinge hinzufügen . Zunächst ein secrets:Block der obersten Ebene , der alle Geheimnisse definiert. Dann ein weiterer secrets:Block unter jedem Dienst, der angibt, welche Geheimnisse der Dienst erhalten soll.

Als Beispiel die beiden Arten von Geheimnissen zu schaffen , dass Docker verstehen: externe Geheimnisse und Datei Geheimnisse.

1. Erstellen Sie ein 'externes' Geheimnis mit docker secret create

Das erste: Um Geheimnisse mit Docker zu nutzen, muss der Knoten, auf dem Sie sich befinden, Teil eines Schwarms sein.

$ docker swarm init

Erstellen Sie als Nächstes ein "externes" Geheimnis:

$ echo "This is an external secret" | docker secret create my_external_secret -

(Stellen Sie sicher, dass Sie den letzten Strich einfügen -. Es ist leicht zu übersehen.)

2. Schreiben Sie ein weiteres Geheimnis in eine Datei

$ echo "This is a file secret." > my_file_secret.txt

3. Erstellen Sie eine docker-compose.ymlDatei, die beide Geheimnisse verwendet

Nachdem beide Arten von Geheimnissen erstellt wurden, finden Sie hier die docker-compose.ymlDatei, in der beide gelesen und in den webDienst geschrieben werden:

version: '3.1'

services:
  web:
    image: nginxdemos/hello
    secrets:                    # secrets block only for 'web' service
     - my_external_secret
     - my_file_secret

secrets:                        # top level secrets block
  my_external_secret:
    external: true
  my_file_secret:
    file: my_file_secret.txt

Docker kann Geheimnisse entweder aus seiner eigenen Datenbank (z. B. mit erstellte Geheimnisse docker secret create) oder aus einer Datei lesen . Das Obige zeigt beide Beispiele.

4. Stellen Sie Ihren Teststapel bereit

Stellen Sie den Stapel bereit mit:

$ docker stack deploy --compose-file=docker-compose.yml secret_test

Dadurch wird eine Instanz des webDienstes mit dem Namen erstellt secret_test_web.

5. Stellen Sie sicher, dass der vom Dienst erstellte Container beide Geheimnisse enthält

Verwenden Sie docker exec -ti [container] /bin/shdiese Option, um zu überprüfen, ob die Geheimnisse vorhanden sind.

(Hinweis: Im folgenden docker execBefehl unterscheidet sich der m2jgac...Teil auf Ihrem Computer. Führen Sie ihn aus docker ps, um Ihren Containernamen zu ermitteln.)

$ docker exec -ti secret_test_web.1.m2jgacogzsiaqhgq1z0yrwekd /bin/sh

# Now inside secret_test_web; secrets are contained in /run/secrets/
root@secret_test_web:~$ cd /run/secrets/

root@secret_test_web:/run/secrets$ ls
my_external_secret  my_file_secret

root@secret_test_web:/run/secrets$ cat my_external_secret
This is an external secret

root@secret_test_web:/run/secrets$ cat my_file_secret
This is a file secret.

Wenn alles in Ordnung ist, sollten sich die beiden Geheimnisse, die wir in den Schritten 1 und 2 erstellt haben, in dem webContainer befinden, der bei der Bereitstellung unseres Stapels erstellt wurde.

Vorausgesetzt, Sie haben einen Dienst myappund eine Geheimdatei secrets.yml:

Erstellen Sie eine Erstellungsdatei:

version: '3.1'

services:
  myapp:
    build: .
    secrets:
      secrets_yaml

Stellen Sie mit diesem Befehl ein Geheimnis bereit:

docker secret create secrets_yaml secrets.yml

Stellen Sie Ihren Dienst mit diesem Befehl bereit:

docker deploy --compose-file docker-compose.yml myappstack

Jetzt kann Ihre App unter auf die geheime Datei zugreifen /run/secrets/secrets_yaml. Sie können diesen Pfad entweder in Ihrer Anwendung fest codieren oder einen symbolischen Link erstellen.

Die andere Frage

Diese Antwort bezieht sich wahrscheinlich auf die Frage "Wie stellen Sie Ihre Geheimnisse Ihrem Docker-Schwarm-Cluster zur Verfügung?".

Die ursprüngliche Frage "Wie verwalten Sie geheime Werte mit Docker Compose?" Impliziert, dass die Docker-Compose-Datei geheime Werte enthält. Das tut es nicht.

Es gibt eine andere Frage: "Wo speichern Sie die kanonische Quelle der secrets.ymlDatei?" Es liegt an dir. Sie können es in Ihrem Kopf speichern, auf ein Blatt Papier drucken, einen Passwort-Manager verwenden und eine spezielle Geheimdienstanwendung / Datenbank verwenden. Sie können sogar ein Git-Repository verwenden, wenn es selbst sicher gesichert ist. Speichern Sie es natürlich niemals in dem System, das Sie damit sichern :)

Ich würde Tresor empfehlen . So speichern Sie ein Geheimnis:

# create a temporary secret file
cat secrets.yml | vault write secret/myappsecrets -

So holen Sie ein Geheimnis ab und legen es in Ihren Hafenschwarm:

vault read -field=value secret/myappsecrets | docker secret create secrets_yaml -

Natürlich können Sie Docker-Cluster selbst als eine einzige Quelle der Wahrheit für Ihre Geheimnisse verwenden, aber wenn Ihr Docker-Cluster kaputt geht, haben Sie Ihre Geheimnisse verloren. Stellen Sie also sicher, dass Sie an anderer Stelle ein Backup haben.

Die Frage, die niemand gestellt hat

Die dritte Frage (die niemand gestellt hat) ist, wie Geheimnisse für die Maschinen der Entwickler bereitgestellt werden können. Dies kann erforderlich sein, wenn es einen externen Dienst gibt, der lokal nicht verspottet werden kann, oder eine große Datenbank, die nicht kopiert werden kann.

Auch hier hat Docker (noch) nichts damit zu tun. Es gibt keine Zugriffssteuerungslisten, die angeben, welche Entwickler auf welche Geheimnisse zugreifen können. Es gibt auch keinen Authentifizierungsmechanismus.

Die ideale Lösung scheint folgende zu sein:

• Ein Entwickler öffnet eine Webanwendung.
• Authentifiziert sich mithilfe eines Single Sign-On-Mechanismus.
• Kopiert eine lange Liste von docker secret createBefehlen und führt sie im Terminal aus.

Wir müssen noch sehen, ob eine solche Anwendung auftaucht.

Sie können auch angeben , secretslokal in einer Datei mit gespeichert file:in secretsSchlüsselobjekt. Dann musst du sie nicht docker secret createselbst machen, komponiere / docker stack deploywerde es für dich tun.

version: '3.1'

secrets:
  password:
    file: ./password

services:
  password_consumer:
    image: alpine
    secrets:
      - password

Referenz: Verfassen der Datei Version 3 Referenz: Geheimnisse

Ist das der genaue Einzug Ihrer docker-compose.ymlDatei? Ich denke, sollte unter (dh einem der Dienste) verschachtelt sein , nicht direkt unter Abschnitt.secret secretsaservices

Ich denke das Schlüsselwort ist secretsnicht secret. Das verstehe ich zumindest aus dem Lesen des Schemas .