docker - 构建 Docker 镜像时如何惯用地访问敏感数据？

Question

有时在构建 Docker 镜像时需要使用敏感数据。例如，用于下载远程文件或从私有(private)存储库安装依赖项的 API token 或 SSH key 。可能需要分发生成的图像并省略用于构建它的敏感凭据。如何做到这一点？

我看过docker-squash它可以将多个图层压缩为一个，从最终图像中删除任何已删除的文件。但是还有更惯用的方法吗？

Answer 1

关于惯用方法，我不确定，虽然 docker 还很年轻，没有太多的习惯用法。

但是，我们公司也遇到过同样的问题。我们得出了以下结论，尽管这些是我们的最大努力，而不是既定的 docker 最佳实践。

1) 如果您在构建时需要这些值:在构建上下文中提供一个属性文件，其中包含可以在构建时读取的值，然后可以在构建后删除该属性文件。这不是那么便携，但可以完成这项工作。

2) 如果您在运行时需要这些值:将值作为环境变量传递。可以在盒子上访问 ps 的人可以看到它们，但这可以通过 SELinux 或其他方法进行限制(老实说，我不知道这个过程，我是开发人员，运营团队将处理这部分)。