Как правильно указывать(хранить)пароли в docker-compose?

Question

[mrkotovsk1]

В многих мануалах в конфигурационном файле docker-compose пароли и логины указывают в явно открытом виде
Как их скрыть (например чтоб был виден лишь хеш или переменная)?

Answer 1

[Максим Федоров]

Универсальным рецептом на любую архитектуру является:
Хранение паролей в секретнице, например HashiCorp Vault

Приложение при инициализации идет за своим набором секретов по сети и создает подключения к БД, конфиги доступа к др ресурсам и прочее и хранит у себя... Все секьюрно и надежно

Если проще: передавайте секреты через переменные окружения при деплое.
Локально — через .env файл. Docker-compose сервисы могут содержать параметр env_file: .env.test, если вам нужно точечно что-то сделать

Вы разве используете docker-compose для продакшн?

Comments

[mrkotovsk1]

а в чем проблема docker-compose?

[Максим Федоров]

mrkotovsk1, ?

[mrkotovsk1]

Максим Федоров, а можете показать пример использования переменных?

[shurshur]

mrkotovsk1, например, в файл test.env пишем что-нить типа:

VAR1="123"
VAR2="456"

В нужном сервисе добавляем этот файл с помощью директивы env_file:

[Влад Токарев]

а в чем проблема docker-compose?

Максим Федоров, вероятно, mrkotovsk1 хотел спросить, в чем проблема использовать его для production? У меня аналогичный вопрос.

[Максим Федоров]

Влад Токарев, чтобы точнее ответить что нужно делать

"в чем проблема?" а зачем мне этот вопрос задавать и почему?

[Влад Токарев]

"в чем проблема?" а зачем мне этот вопрос задавать и почему?

Максим Федоров, возможно, я неправильно понял ваш мотив, когда вы спрашивали:

Вы разве используете docker-compose для продакшн?

[Максим Федоров]

Влад Токарев, речь про секьюрные данные, про переменные окружения и прочее... чтобы помочь — было бы полезнее узнать чего там и как делают :)

[mrkotovsk1]

Максим Федоров, как я и сказал в мануалах есть докер компос стеки, например основанные на lemp,в поле где бд указывается лог/пасс и все в открытом виде

Answer 2

[mayton2019]

Если докер является частью вашего облака AWS/Azure - то надо читать их документацию. Обычно постащик облака всегда продает какой-то сейф (vault) для хранения секретов. И есть API через который можно читать содержимое этого сейфа.