技術標籤：docker

Docker Secret

在我們啟動docker或者service需要指定密碼，這種密碼我們有時不想被別人知道，所以可以採用docker secret方式管理。
建立secret可以有兩種方式，一種通過檔案建立，一種通過命令列建立
我們在本地建立一個檔案passwd

zack1024

接下我們可以通過如下命令建立secret

docker secret create my-pw  passwd

執行後可以看到螢幕輸出如下

qq463dkw4da9s05rwinntmo09

這是一段加密後的數字，接下來我們檢視下所有secret

docker secret list
 

可以看到secret列表

ID                          NAME                DRIVER              CREATED              UPDATED
qq463dkw4da9s05rwinntmo09   my-pw                                   About a minute ago   About a minute ago

為了保護隱私，我們可以將passwd這個檔案刪除。
當然也可以通過命令列方式傳入，從而建立secret

echo "zack1024" | docker secret create mysql-root-pw -
 

接下來我們利用secret建立一些service

docker service create --name se-busybox --secret my-pw busybox sh -c "while true; do sleep 3600; done"

接下來我們檢視下跑起來的service 列表

docker service list

可以看到服務列表，docker service ps se-busy的box 檢視具體服務，可以看到這個服務執行的節點書和狀態

ID                  NAME                IMAGE               NODE                DESIRED STATE       CURRENT STATE            ERROR               PORTS
6xgkpk55tno7        se-busybox.1        busybox:latest      VM-0-9-ubuntu       Running             Running 19 seconds ago
 

接下來我們在VM-0-9-ubuntu這臺機器上執行docker ps 找到se-busybox服務執行的容器

CONTAINER ID        IMAGE                COMMAND                  CREATED             STATUS              PORTS                               NAMES
23d0dce1b7cf        busybox:latest       "sh -c 'while true; …"   9 minutes ago       Up 9 minutes                                            se-busybox.1.6xgkpk55tno7fi6uiim4am00n

我們進入這個容器，docker exec -it 23d0dce1b7cf sh
在容器裡，接下來我們進入這個目錄 cd /run/secrets/

/run/secrets # ls
my-pw
/run/secrets # cat my-pw
zack1024

通過cat my-pw可以看到我們最初設定的密碼。
接下來我們利用secret構建mysql服務

docker service create --name se-db --secret my-pw -e MYSQL_ROOT_PASSWORD_FILE=/run/secrets/my-pw mysql

啟動mysql後進入容器內部也可以看到/run/secrets/目錄下有my-pw檔案，其內部記錄的就是我們設定的密碼。
我們在容器內部執行

mysql -u root -p

錄入之前設定的密碼, 可以看到連線成功。

通過docker-compose使用secrete

可以通過secrets欄位指定要使用的金鑰，這個金鑰必須提前通過docker secret create建立
也可以通過secrets欄位單獨指定金鑰名稱，在其子域下指定file關鍵字,就是密碼儲存的檔案

version: '3.6'
services:

  web:
    image: wordpress
    ports:
      - 8080:80
    secrets:
      - my-pw
    environment:
      WORDPRESS_DB_HOST: mysql
      WORDPRESS_DB_PASSWORD_FILE: /run/secrets/my-pw
    networks:
      - my-network
    depends_on:
      - mysql
    deploy:
      mode: replicated
      replicas: 3
      restart_policy:
        condition: on-failure
        delay: 5s
        max_attempts: 3
      update_config:
        parallelism: 1
        delay: 10s

  mysql:
    image: mysql
    secrets:
      - my-pw
    environment:
      MYSQL_ROOT_PASSWORD_FILE: /run/secrets/my-pw
      MYSQL_DATABASE: wordpress
    volumes:
      - mysql-data:/var/lib/mysql
    networks:
      - my-network
    deploy:
      mode: global
      placement:
        constraints:
          - node.role == manager

volumes:
  mysql-data:

networks:
  my-network:
    driver: overlay

secrets:
  my-pw:
    file: ./password

然後我們通過docker stack 啟動服務

docker stack deploy wordpress -c=docker-compose.yml

感謝關注我的公眾號