postgresql - 在提取到环境变量后以安全的方式处理 OpenShift secret

Question

因此，我配置了一个 OpenShift 3.9 构建配置，使得 environment variables are populated from an OpenShift secret在构建时。我正在使用这些环境变量为图像的 ENTRYPOINT 脚本中的 PostgreSQL 角色设置密码。

显然，这些环境变量被烘焙到图像中，不仅是构建图像，还有生成的数据库图像。 (在运行的容器中发出 set 时，我可以看到它们的值。)一方面，这似乎是必要的，因为 ENTRYPOINT 脚本需要访问它们，并且它只在图​​像上执行运行时(不是构建时)。另一方面，这有点令人不安，因为 FWIK 获得图像的人现在可以提取这些密码。使用后取消设置环境变量不会改变这一点。

那么有没有更好的方法(甚至最佳实践)以更安全的方式处理此类情况？

更新 在这个阶段，我看到了两种可能的前进方式(优先选择更好的):

1. 配置 DeploymentConfig 使其 mounts the secret作为一个卷(不是:让 BuildConfig 从中填充环境变量)。

2. 存储 PostgreSQL password hashes (不是:逐字密码) secret 。

Answer 1

正如评论中所建议的那样，将环境变量的提供从 BuildConfig 的 secret 转移到 DeploymentConfig 是有意义的。供引用:

oc explain bc.spec.strategy.dockerStrategy.env.valueFrom.secretKeyRef
oc explain dc.spec.template.spec.containers.env.valueFrom.secretKeyRef