Muhit, sozlama va sirlar

Bitta obraz ishlab chiqish, sinov va ishlab chiqarishda ishlashi kerak. Farq faqat sozlamada bo'lsin - obrazda emas.

Bu bobda sozlamani konteynerga uzatishning uch yo'li va bitta jiddiy xavfsizlik tuzog'i ko'riladi.

ENV - standart qiymat #

FROM alpine:3.21
ENV DOKON_MUHIT=ishlab-chiqish
ENV DOKON_PORT=8080
CMD ["sh", "-c", "echo \"muhit=$DOKON_MUHIT port=$DOKON_PORT\""]

docker run --rm sozla:1

muhit=ishlab-chiqish port=8080

Obrazda yozilgan qiymat - bu standart, majburiy emas.

-e bilan almashtirish #

docker run --rm -e DOKON_MUHIT=ishlab-chiqarish sozla:1

muhit=ishlab-chiqarish port=8080

Bitta o'zgaruvchi almashdi, ikkinchisi standart qiymatida qoldi.

--env-file - ro'yxatni fayldan #

Uchta-to'rttadan ko'p o'zgaruvchi bo'lsa, buyruq satri o'qib bo'lmas holga keladi:

DOKON_MUHIT=sinov
DOKON_PORT=9090

docker run --rm --env-file dokon.env sozla:1

muhit=sinov port=9090

Hostdagi qiymatni uzatish #

Qiymatsiz -e hostdagi o'zgaruvchini oladi:

export DOKON_MUHIT=hostdan
docker run --rm -e DOKON_MUHIT sozla:1

muhit=hostdan port=8080

Bu CI da qulay: sir CI tizimining o'zgaruvchisida turadi va buyruq satriga yozilmaydi.

Konteynerda qanday ko'rinadi #

docker run --rm --hostname dokon sozla:1 env | sort

DOKON_MUHIT=ishlab-chiqish
DOKON_PORT=8080
HOME=/root
HOSTNAME=dokon
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

Bizning ikkitamiz va Docker qo'shgan uchtasi.

ARG - faqat qurish paytida #

ARG va ENV o'xshash ko'rinadi, lekin umri boshqacha.

FROM alpine:3.21
ARG QURISH_RAQAMI=0
RUN echo "qurish paytida: $QURISH_RAQAMI"
CMD ["sh", "-c", "echo \"ishga tushganda: [$QURISH_RAQAMI]\""]

docker run --rm sozla:2

ishga tushganda: []

Bo'sh. ARG qurish tugashi bilan yo'qoladi.

Qurish paytida esa bor - qiymatni --build-arg bilan beramiz:

docker run --rm sozla:3

qurish paytida: 42

Bu obraz shunday qurilgan edi:

docker build --build-arg QURISH_RAQAMI=42 -t sozla:3 .

Tuzoq: --build-arg sirni yashirmaydi #

Ko'pchilik ARG ni "sir uzatishning xavfsiz yo'li" deb o'ylaydi, chunki u konteynerda ko'rinmaydi. Tekshiramiz.

Obraz --build-arg API_KALIT=sk_live_MAXFIY bilan qurilgan:

FROM alpine:3.21
ARG API_KALIT
RUN echo "kalit uzunligi: ${#API_KALIT}" > /uzunlik.txt
CMD ["cat", "/uzunlik.txt"]

docker run --rm sirli:1

kalit uzunligi: 14

Kalitning o'zi konteynerda yo'q - faqat uzunligi. Ko'ringanidek xavfsiz. Endi tarixga qaraymiz:

docker history sirli:1 --no-trunc --format '{{.CreatedBy}}' \
    | grep -i kalit | head -2 | fold -sw 74

RUN |1 API_KALIT=sk_live_MAXFIY /bin/sh -c echo "kalit uzunligi:
${#API_KALIT}" > /uzunlik.txt # buildkit
ARG API_KALIT=sk_live_MAXFIY

Sir ochiq matnda, ikki joyda. Obrazni registry ga yuborsangiz, uni ko'ra oladigan har kim kalitni oladi.

ENV ham shunday:

docker inspect sirli:2 -f '{{range .Config.Env}}{{println .}}{{end}}' \
    | grep PAROL

PAROL=juda-maxfiy

To'g'ri yo'l: BuildKit siri #

Qurish paytida sir kerak bo'ladigan holatlar bor - masalan yopiq paket repozitoriysidan yuklab olish.

BuildKit buning uchun alohida mexanizm beradi:

FROM alpine:3.21
RUN --mount=type=secret,id=apikalit \
    echo "sir uzunligi: $(wc -c < /run/secrets/apikalit)" > /natija.txt
CMD ["cat", "/natija.txt"]

Qurish:

docker build --secret id=apikalit,src=kalit.txt -t xavfsiz:1 .

docker run --rm xavfsiz:1

sir uzunligi: 19

Sir RUN paytida /run/secrets/apikalit da mavjud edi. Endi tarixni tekshiramiz:

docker history xavfsiz:1 --no-trunc --format '{{.CreatedBy}}' \
    | grep -q 'sk_live' && echo "SIR BOR - yomon" || echo "sir yo'q - yaxshi"

sir yo'q - yaxshi

Konteynerda ham qolmagan:

docker run --rm xavfsiz:1 ls /run/secrets 2>&1 | head -1

ls: /run/secrets: No such file or directory

Sir faqat o'sha bitta RUN davomida mavjud bo'ldi va qatlamga yozilmadi.

Sozlamani fayl orqali berish #

Muhit o'zgaruvchisi hamma narsa uchun mos emas: nginx sozlamasi yoki sertifikat - bu fayl.

docker run --rm -v /tmp/sozlama/konf:/etc/dokon:ro alpine:3.21 \
    cat /etc/dokon/dokon.conf

tinglash_porti = 8080
jurnal_darajasi = info

:ro bilan ulanganini unutmang - konteyner sozlamani o'zgartira olmasin.

Xulosa #

• Bitta obraz barcha muhitlarda ishlasin; farq sozlamada bo'lsin.
• ENV obrazdagi standart qiymatni beradi, -e uni ishga tushirishda almashtiradi.
• Qiymatsiz -e NOM hostdagi o'zgaruvchini uzatadi - CI uchun qulay.
• --env-file uzun ro'yxat uchun; bu faylni git ga qo'shmang.
• ARG faqat qurish paytida yashaydi, konteynerda yo'q.
• Lekin ARG ham, ENV ham obraz tarixida ochiq matnda qoladi - docker history va docker inspect ularni ko'rsatadi.
• --build-arg bilan sir uzatmang: u xavfsiz ko'rinadi, lekin emas.
• Obrazga tushgan sirni o'chirib bo'lmaydi - uni bekor qilish kerak.
• Qurish paytidagi sir uchun RUN --mount=type=secret ishlating - u tarixga ham, qatlamga ham tushmaydi.
• Fayl ko'rinishidagi sozlamani :ro bilan ulang.