如何使用 Secret？- 每天5分鐘玩轉 Docker 容器技術（108）
docker run -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql
在啟動 MySQL 容器時我們通過環境變量 MYSQL_ROOT_PASSWORD 設置了 MySQL 的管理員密碼。不過密碼是以明文的形式寫在 docker run 命令中，有潛在的安全隱患。
為了解決這個問題，docker swarm 提供了 secret 機制，允許將敏感信息加密後保存到 secret 中，用戶可以指定哪些容器可以使用此 secret。
如果使用 secret 啟動 MySQL 容器，方法是：
在 swarm manager 中創建 secret
my_secret_data，將密碼保存其中。
echo "my-secret-pw" | docker secret create my_secret_data -
啟動 MySQL service，並指定使用 secret
my_secret_data。
docker service create --name mysql --secret source=my_secret_data,target=mysql_root_password -e MYSQL_ROOT_PASSWORD_FILE="/run/secrets/mysql_root_password" mysql:latest
① source 指定容器使用 secret 後，secret 會被解密並存放到容器的文件系統中，默認位置為 /run/secrets/<secret_name>。--secret source=my_secret_data,target=mysql_root_password 的作用就是指定使用 secret my_secret_data，然後把器解密後的內容保存到容器 /run/secrets/mysql_root_password 文件中，文件名稱 mysql_root_password 由 target 指定。
② 環境變量 MYSQL_ROOT_PASSWORD_FILE 指定從 /run/secrets/mysql_root_password 中讀取並設置 MySQL 的管理員密碼。
這裏大家可能有這麽兩個疑問：
問：在第一步創建 secret 時，不也是使用了明文嗎？這跟在環境變量中直接指定密碼有什麽不同呢？
答：在我們的例子中創建 secret 和使用 secret 是分開完成的，其好處是將密碼和容器解耦合。secret 可以由專人（比如管理員）創建，而運行容器的用戶只需使用 secret 而不需要知道 secret 的內容。也就是說，例子中的這兩個步驟可以由不同的人在不同的時間完成。
問：secret 是以文件的形式 mount 到容器中，容器怎麽知道去哪裏讀取 secret 呢？
答：這需要 image 的支持。如果 image 希望它部署出來的容器能夠從 secret 中讀取數據，那麽此 image 就應該提供一種方式，讓用戶能夠指定 secret 的位置。最常用的方法就是通過環境變量，Docker 的很多官方 image 都是采用這種方式。比如 MySQL 鏡像同時提供了 MYSQL_ROOT_PASSWORD 和 MYSQL_ROOT_PASSWORD_FILE 兩個環境變量。用戶可以用 MYSQL_ROOT_PASSWORD 顯示地設置管理員密碼，也可以通過 MYSQL_ROOT_PASSWORD_FILE 指定 secret 路徑。
下一節我們繼續討論 Secret。
書籍：
1.《每天5分鐘玩轉Docker容器技術》
https://item.jd.com/16936307278.html
2.《每天5分鐘玩轉OpenStack》
https://item.jd.com/12086376.html
如何使用 Secret？- 每天5分鐘玩轉 Docker 容器技術（108）