如何使用 Secret?- 每天5分钟玩转 Docker 容器技术(108)
我们经常要向容器传递敏感信息,最常见的莫过于密码了。比如:
docker run -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql
在启动 MySQL 容器时我们通过环境变量 MYSQL_ROOT_PASSWORD
设置了 MySQL 的管理员密码。不过密码是以明文的形式写在 docker run
命令中,有潜在的安全隐患。
为了解决这个问题,docker swarm 提供了 secret 机制,允许将敏感信息加密后保存到 secret 中,用户可以指定哪些容器可以使用此 secret。
如果使用 secret 启动 MySQL 容器,方法是:
在 swarm manager 中创建 secret
my_secret_data
,将密码保存其中。
echo "my-secret-pw" | docker secret create my_secret_data -
启动 MySQL service,并指定使用 secret
my_secret_data
。
docker service create \ --name mysql \ --secret source=my_secret_data,target=mysql_root_password \ -e MYSQL_ROOT_PASSWORD_FILE="/run/secrets/mysql_root_password" \ mysql:latest
① source 指定容器使用 secret 后,secret 会被解密并存放到容器的文件系统中,默认位置为 /run/secrets/<secret_name>。--secret source=my_secret_data,target=mysql_root_password
的作用就是指定使用 secret my_secret_data
,然后把器解密后的内容保存到容器 /run/secrets/mysql_root_password
文件中,文件名称 mysql_root_password
由 target
指定。
② 环境变量 MYSQL_ROOT_PASSWORD_FILE
指定从 /run/secrets/mysql_root_password
中读取并设置 MySQL 的管理员密码。
这里大家可能有这么两个疑问:
问:在第一步创建 secret 时,不也是使用了明文吗?这跟在环境变量中直接指定密码有什么不同呢?
答:在我们的例子中创建 secret 和使用 secret 是分开完成的,其好处是将密码和容器解耦合。secret 可以由专人(比如管理员)创建,而运行容器的用户只需使用 secret 而不需要知道 secret 的内容。也就是说,例子中的这两个步骤可以由不同的人在不同的时间完成。
问:secret 是以文件的形式 mount 到容器中,容器怎么知道去哪里读取 secret 呢?
答:这需要 image 的支持。如果 image 希望它部署出来的容器能够从 secret 中读取数据,那么此 image 就应该提供一种方式,让用户能够指定 secret 的位置。最常用的方法就是通过环境变量,Docker 的很多官方 image 都是采用这种方式。比如 MySQL 镜像同时提供了 MYSQL_ROOT_PASSWORD
和 MYSQL_ROOT_PASSWORD_FILE
两个环境变量。用户可以用 MYSQL_ROOT_PASSWORD
显示地设置管理员密码,也可以通过 MYSQL_ROOT_PASSWORD_FILE
指定 secret 路径。
下一节我们继续讨论 Secret。
书籍:
1.《每天5分钟玩转Docker容器技术》
https://item.jd.com/16936307278.html
2.《每天5分钟玩转OpenStack》
https://item.jd.com/12086376.html
转载于:https://www.cnblogs.com/CloudMan6/p/8068057.html
如何使用 Secret?- 每天5分钟玩转 Docker 容器技术(108)相关推荐
- 环境变量方式使用 Secret - 每天5分钟玩转 Docker 容器技术(158)
通过 Volume 使用 Secret,容器必须从文件读取数据,会稍显麻烦,Kubernetes 还支持通过环境变量使用 Secret. Pod 配置文件示例如下: 创建 Pod 并读取 Secret ...
- 每天5分钟玩转docker容器技术 pdf_stack 的优势 每天5分钟玩转 Docker 容器技术(113)...
第113篇 stack 的优势 stack 将应用所包含的 service,依赖的 secret.voluem 等资源,以及它们之间的关系定义在一个 YAML 文件中.相比较手工执行命令或是脚本,st ...
- Secret 的使用场景 - 每天5分钟玩转 Docker 容器技术(109)
我们可以用 secret 管理任何敏感数据.这些敏感数据是容器在运行时需要的,同时我们不又想将这些数据保存到镜像中. secret 可用于管理: 用户名和密码. TLS 证书. SSH 秘钥. 其他小 ...
- chart 模板 - 每天5分钟玩转 Docker 容器技术(165)
Helm 通过模板创建 Kubernetes 能够理解的 YAML 格式的资源配置文件,我们将通过例子来学习如何使用模板. 以 templates/secrets.yaml 为例: 从结构看,文件的内 ...
- stack 的优势 - 每天5分钟玩转 Docker 容器技术(113)
stack 将应用所包含的 service,依赖的 secret.voluem 等资源,以及它们之间的关系定义在一个 YAML 文件中.相比较手工执行命令或是脚本,stack 有明显的优势. YAML ...
- Why Helm? - 每天5分钟玩转 Docker 容器技术(160)
2019独角兽企业重金招聘Python工程师标准>>> 本章我们将学习 Helm,Kubernetes 的包管理器. 每个成功的软件平台都有一个优秀的打包系统,比如 Debian.U ...
- 使用 Helm - 每天5分钟玩转 Docker 容器技术(163)
2019独角兽企业重金招聘Python工程师标准>>> Helm 安装成功后,可执行 helm search 查看当前可安装的 chart. 这个列表很长,这里只截取了一部分.大家不 ...
- 用 ConfigMap 管理配置 - 每天5分钟玩转 Docker 容器技术(159)
Secret 可以为 Pod 提供密码.Token.私钥等敏感数据:对于一些非敏感数据,比如应用的配置信息,则可以用 ConfigMap. ConfigMap 的创建和使用方式与 Secret 非常类 ...
- 用 Label 控制 Service 的位置 - 每天5分钟玩转 Docker 容器技术(106)
上一节我们讨论了 Service 部署的两种模式:global mode 和 replicated mode.无论采用 global mode 还是 replicated mode,副本运行在哪些节点 ...
- 如何用 Graylog 管理日志?- 每天5分钟玩转 Docker 容器技术(93)
上一节已经部署好了 Graylog,现在学习如何用它来管理日志. 首先启动测试容器. docker run -d \ --log-driver=gelf \ --log-opt gelf-addres ...
最新文章
- 如何用Python和BERT做中文文本二元分类?| 程序员硬核评测
- typescript 怎么表示当前时间减一个月_TypeScript类型元编程:实现8位数的算术运算...
- linux系统添加新用户并赋予相应权限
- BZOJ 1101: [POI2007]Zap( 莫比乌斯反演 )
- Linux java 生效不了,linux jdk 不生效怎么办
- mysql新增阵列df_DF学Mysql(三)——索引操作
- redhat6.3 安装 mysql_redhat6.3X64/linux 安装多个mysql(编译安装方法)
- Linux valgrind java_Ubuntu下使用valgrind所遇问题
- lottie动画_极光小课堂 | 用 Lottie 实现超炫酷动画
- 卧槽!新来的妹纸rm -rf把公司整个数据库删没了,整个项目组慌了~
- jQuery动画实现下拉菜单二级联动
- LaTeX 消除字体错误 Size substitutions with differences (Font)	up to 0.41063pt have occurred.
- sir模型matlab案例_直播案例 | 人群接触网络中的 SIR 疫情模拟
- c语言模拟uart协议的收发
- S/HIC 系列软件:S/HIC 利用随机森林识别 软/硬 清扫
- java 求梯形面积
- android JeckPack官方文档学习
- iphone 信号对应设备_如何访问iPhone的现场测试模式(并查看实际信号强度)
- Python3.7+Robot Framework 打开ride.py无界面
- .net framework 4.0 在 VS2010 安装目录下位置 dotNetFx40_Full_x86_x64.exe在磁盘哪个目录?...
热门文章
- oracle查询显示小写,oracle查询区分大小写
- Kubernetes架构图 Architecture Workload Networking Storage RBAC
- 微信小程序云开发教程-WXML入门-常用组件和属性
- thinkphp group count连用
- Java面试题及答案2019_一般JAVA面试题及答案解析2019
- 创建font_年底干货来了!图案创建、字体、图库、UI套件常见工具大合集!
- 机器字长 存储字长 指令字长 机器字长
- 羞,Spring Bean 初始化/销毁竟然有这么多姿势
- 阶段3 1.Mybatis_09.Mybatis的多表操作_2 完成account表的建立及实现单表查询
- Vue—实例成员computed和watch