Как справиться с конкретным хранилищем ключей в изображениях докеров

Question

У меня есть ситуация, когда у меня есть несколько этапов с разных сертификатов для шифрования. Контейнеры-докеры с лучшей практикой неизменяемы между этапами и только параметризуются через переменные среды. Это позволит использовать конкретный пароль для хранилища ключей, но не позволит помещать новый сертификат в изображение.

Я подумал о следующей опции:

• стадия конкретных докер изображение/построить
• Загрузка хранилища ключей по сети при запуске контейнера (давая URL и пароль в качестве переменных окружения)
• к хранилищу на уровне данных докеров.

Кто-нибудь сделал опыт в этой ситуации и может поделиться своими лучшими практиками? Спасибо!

Answer 1

Загрузка хранилища ключей по сети при запуске контейнера (давая URL и пароль в качестве переменных окружения)

На самом деле, для хранения и доступа к секретам (например, пароли), можно настроить выделенный контейнер с помощью hashicorp/vault (vaultproject.io).

У вас есть full tutorial on KataCoda упоминаемый Ben Hall (создатель KataCoda) в issue 165, или, например, с sjourdan/docker-vault.