docker - 如何处理 Docker 镜像中特定于阶段的 keystore

Question

我有我的情况多个阶段与 不同的证书用于加密。作为最佳实践，docker 容器在不同阶段之间是不可变的，并且只能通过环境变量进行参数化。这将允许使用阶段特定的 keystore 密码，但不允许在镜像中放置新证书。

我想到了以下选项:

特定于阶段的 docker 镜像/构建

在容器启动时通过网络加载 keystore (将 url 和密码作为环境变量)

docker 数据卷上的 keystore 。

任何人都有过这种情况的经验，可以分享他的最佳实践吗？谢谢!

Answer 1

Loading the keystore over the network on container startup (giving url and password as environment variables)

实际上，为了存储和访问 secret (如密码)，您可以使用 hashicorp/vault 设置专用容器( vaultproject.io )。

您有一个 full tutorial on KataCoda由 Ben Hall 提及(KataCoda 的创建者)在 issue 165 , 或 sjourdan/docker-vault 的示例.