Docker:可以从生成的图像中恢复在单个 RUN 命令中创建和删除的 secret 吗？

Question

我想在我的 docker 构建过程中使用一些 key 。所以我有了将这些键作为构建参数注入(inject)构建过程的想法。这应该是安全的。 official documentation states :

Also, these values don’t persist in the intermediate or final images like ENV values do.

下面是一个 Dockerfile 的示例:

FROM ubuntu:latest
ARG key
...
RUN echo $key > /tmp/key && doSomethingWithKey && rm /tmp/key
...

如您所见，有一次我需要将此 key 粘贴到文件中。为了确保此 key 不会“烘焙”到最终图像中，我立即删除了该 key 。

这是构建命令:

$ docker build --build-arg key="secret" .

现在我的问题是:这是安全的还是 key 会“存储”在最终图像中？

Answer 1

key 不会存储在文件系统中，但会存储在层元数据中，您可以使用 docker history 查看在你的形象上。因此，我建议不要这样做。

我最常看到这个请求是来自私有(private)仓库的代码 checkout ，其中在构建中使用了该仓库的登录名。如果是这种情况，您应该在构建命令之前检查代码，然后执行 COPY从您的 Dockerfile 中 checkout 的代码。