Nascondere/offuscare i parametri ambientali nella finestra mobile

Question

Sto usando l'immagine mysql come esempio, ma la domanda è generica.

La password utilizzata per avviare mysqld in finestra mobile non è visibile nella finestra mobile ps però è visibile nella finestra mobile ispezionare:

sudo docker run --name mysql-5.7.7 -e MYSQL_ROOT_PASSWORD=12345 -d mysql:5.7.7 

CONTAINER ID  IMAGE    COMMAND     CREATED    STATUS    PORTS    NAMES 
b98afde2fab7  mysql:5.7.7   "/entrypoint.sh mysq 6 seconds ago  Up 5 seconds  3306/tcp   mysql-5.7.7 

sudo docker inspect b98afde2fab75ca433c46ba504759c4826fa7ffcbe09c44307c0538007499e2a 

"Env": [ 
     "MYSQL_ROOT_PASSWORD=12345", 
     "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin", 
     "MYSQL_MAJOR=5.7", 
     "MYSQL_VERSION=5.7.7-rc" 
    ] 

C'è un modo per nascondere/offuscare parametri ambientali passati al momento del lancio contenitori. In alternativa, è possibile passare parametri sensibili facendo riferimento a un file?

Answer 1

Si dice "In alternativa, è possibile passare parametri sensibili in riferimento a un file?", Estrarre dal documento http://docs.docker.com/reference/commandline/run/--env-file=[] Read in a file of environment variables.

Answer 2

Stranamente, sto solo scrivendo un articolo su questo.

Si sconsiglia di utilizzare le variabili di ambiente per memorizzare i segreti, principalmente per i motivi Diogo Monica outlines here; sono visibili in troppi luoghi (contenitori collegati, controllo finestra mobile, processi figlio) e rischiano di finire nelle informazioni di debug e nei report dei problemi. Non penso che l'uso di un file di variabili d'ambiente possa aiutare a mitigare nessuno di questi problemi, anche se ciò impedirebbe di salvare i valori nella cronologia della shell.

Invece, è possibile passare in segreto in un esempio di volume:

$ docker run -v $(pwd)/my-secret-file:/secret-file .... 

Se davvero si vuole utilizzare una variabile di ambiente, si potrebbe passare come uno script per essere di provenienza, che avrebbe almeno nascondilo dai contenitori ispezionati e collegati (es. CMD source /secret-file && /run-my-app).

Lo svantaggio principale dell'utilizzo di un volume è che si corre il rischio di controllare accidentalmente il file nel controllo di versione.

Una soluzione migliore, ma più complicata è scaricarla da un archivio di valori-chiave come ad esempio eccd (con crypt), keywhiz o vault.