Come usare i segreti della finestra mobile senza un cluster di sciami?

Attualmente siamo un'applicazione in esecuzione su un singolo contenitore finestra mobile, l'applicazione ha bisogno di trasmettere tutti i tipi di dati sensibili come variabili di ambiente,

Sto mettendo quelli sul comando di esecuzione in modo che non finiscano nell'immagine e poi su un repository, tuttavia finisco con un comando di esecuzione molto non sicuro,

Ora capisco che esistono segreti docker, tuttavia, come posso usarli senza distribuire un cluster? o c'è un altro modo per proteggere questi dati?

I migliori saluti,

Non puoi ... Non supporta i segreti senza Swarm. A meno che '' non possa essere '' tu '' Sciame '' usando solo un nodo.

L'altra soluzione sarebbe, penso di usare un software di vault di terze parti come questo:

https://www.vaultproject.io/

Ma poi, per usare i segreti dei tuoi contenitori da Vault, dovrai leggere il documento.

Spero che questo ti porti sulla strada giusta per iniziare.

Sì , puoi usare i segreti se usi un file di composizione . (Non è necessario eseguire uno sciame).

Si utilizza un file di composizione con docker-compose : è presente la documentazione per "segreti" in un file docker-compose.yml .

Sono passato alla docker-compose perché volevo usare i segreti. Sono felice di averlo fatto, sembra molto più pulito. Ogni servizio è mappato su un contenitore. E se mai vuoi passare a eseguire uno sciame invece, sei praticamente già lì.

Nota: i segreti non vengono caricati nell'ambiente del contenitore, sono montati su / run / secrets /

Ecco un esempio:

1) Struttura del progetto:

|
|---    docker-compose.yml
|---    super_duper_secret.txt

2) contenuto docker-compose.yml:

version: "3.6"

services:

  my_service:
    image: centos:7
    entrypoint: "cat /run/secrets/my_secret"
    secrets:
      - my_secret

secrets:
  my_secret:
    file: ./super_duper_secret.txt

3) contenuti super_duper_secret.txt:

Whatever you want to write for a secret really.

4) Esegui questo comando dalla radice del progetto per vedere che il contenitore ha accesso al tuo segreto, (Docker deve essere in esecuzione e docker-compose installato):

docker-compose up --build my_service

Dovresti vedere il tuo contenitore in uscita il tuo segreto.