Início / server / Perguntas / 898565
Accepted
nagylzs
Asked: 2018-02-24 03:21:21 +0800 CST

Como usar um valor secreto do docker/swarm como uma variável de ambiente em "criação de serviço docker"?

  • 772

Eu preciso escrever scripts que criam serviços em clusters docker swarm. Um script de exemplo seria semelhante a este:

docker service create \
    --name postgres \
    --mode global \
    --constraint "node.labels.postgres==master" \
    --network my-network \
    --env POSTGRES_USER="postgres" \
    --env POSTGRES_PASSWORD="****" \
    postgres:10

As variáveis ​​de ambiente POSTGRES_USER e POSTGRES_PASSWORD devem vir dos segredos do docker. Por exemplo:

echo "example_password" | docker secret create postgres-password -

Eu entendo que o segredo pode ser acessado como um arquivo de dentro de um contêiner em execução. Mas no exemplo acima, ele deve ser passado para o comando "service create" como uma variável de ambiente. Ele é usado pelo ponto de entrada do container, portanto deve ser apresentado ANTES do container ser criado. Então, como posso passar um segredo para a opção --env do comando "docker service create"?

docker-swarm

1 respostas

  1. Best Answer

    Conforme declarado aqui https://github.com/docker-library/docs/blob/master/postgres/README.md , você pode usar segredos de enxame no serviço postgres quando adicionar o sufixo _FILE como:

    docker service create \
    --name postgres \
    --mode global \
    --constraint "node.labels.postgres==master" \
    --network my-network \
    --secret "postgres-password" \
    --env POSTGRES_USER="postgres" \
    --env POSTGRES_PASSWORD_FILE="/run/secrets/postgres-password" \
    postgres:10

    Se você perguntar sobre solução genérica para qualquer serviço, não é possível sem criar contêiner ou serviço, que expõe senhas em texto não criptografado (digamos Nginx que lê senhas de arquivos que são segredos)

    • 1

relate perguntas