Dockerコンテナのクレデンシャル設計パターン | DevelopersIO

ども、大瀧です。 データベースやクラウドストレージにアクセスするために、DockerコンテナでパスワードやAPIトークンキーなどのいわゆるクレデンシャル(資格)情報を扱うことがあります。これらの情報の扱い方についていくつかパターンを挙げ、考察してみたいと思います。 TL;DR(要点) DockerイメージやDockerfileに埋め込むのはアンチパターン コンテナ実行時に環境変数で渡すのがメジャー。しかしクレデンシャル管理が不要になるわけではない コンテナ実行時に外部から動的取得するのがおすすめ。クラウドのメタデータサーバーの利用がお手軽 クレデンシャル情報とは クレデンシャルは、コンテナから外部のデータソースにアクセスするための資格情報を指します。典型的なクレデンシャルとして以下があります。 DBユーザー名とDBパスワード : dbuser/dbpass WebサービスにアクセスするAP

[tettekete37564]

貴重なレポート

[teckl]

とりあえず docker run 時の --env でやるか…

[drumsco]

やはりDockerfileに書いちゃダメ。実行時に外部から動的に取得するべし。メタデータサーバーを利用する

[toyama0919]

Naruhodo

[mapk0y]

docker の環境変数でそのまま渡すのは同じホストの一般ユーザーからも見えちゃうから避けたいな～。セキュアな情報は、env-file 使うべきかな。または mysql client のように docker client 側で頑張ってもらう将来か

[tzt]

あー、Dockerコンテナのクレデンシャル管理は結構悩ましい問題だなぁ。IAMロールの扱いとかECSでよしなにやってくれると嬉しいんだけど。。

[bouzuya]

coreos なら etcd からコマンドでとって……とかかな。