在 docker buildkit 中使用秘密标志的正确方法

我正在努力解决 Gavin 提到的同样问题 this question。

使用该功能的正确方法是什么？

在互联网上环顾四周，我只在上面提到的 docker 文档中发现了相同示例的一些变体，它在构建时打印了秘密。也许我没有完全理解这个例子，所以请帮助我。

如果无法在构建时获取秘密，请在 Dockerfile 的另一部分（例如 ARG 变量或 RUN 命令）中使用，何时以及如何使用该新功能来真正保护我的秘密安全以及工作吗？

我的目标是在构建时使用这个新功能，并确保我的秘密信息安全，以防有人获取我的图像文件并对其执行历史记录。

例如，我有一个像这样的 Dockerfile：

FROM influxdb:2.0
ENV DOCKER_INFLUXDB_INIT_MODE=setup
ENV DOCKER_INFLUXDB_INIT_USERNAME=admin
ENV DOCKER_INFLUXDB_INIT_PASSWORD="mypassword"

我如何使用 docker 文档中提到的新功能来设置我的变量 (DOCKER_INFLUXDB_INIT_PASSWORD)，例如，以一种不会记录在图像历史记录中的方式？

提前致谢

我如何使用 docker 文档中提到的新功能来例如，以某种方式设置我的变量 (DOCKER_INFLUXDB_INIT_PASSWORD) 它不会登录图像历史记录？

这取决于您是仅在构建时需要该密钥，还是您是否真的想在运行时使用它。后一种情况可能更常见，并且已经有一个规范的解决方案：

如果您想将 DOCKER_INFLUXDB_INIT_PASSWORD 保留在您的图片之外历史，只是不要在构建过程中设置它。要求它是设置运行时，例如，通过 -e VAR=VALUE 参数为 docker run （或 --env-file 选项）：

docker run -e DOCKER_INFLUXDB_INIT_PASSWORD=mypassword myimage

你可以有一个 ENTRYPOINT 脚本来检查变量在如果未设置，运行时并退出并显示有用的错误消息。

用于诸如 MySQL 和 PostgreSQL 之类的官方 Docker 镜像可以工作这样。

相比之下，构建机密仅用于构建时需要。例如，假设您的构建过程需要做这样的事情：

RUN curl -o /data/mydataset -u username:password \
  https://example.com/dataset

您想与以下人员分享您的 Dockerfile 和相关来源其他人，但您不想共享您的用户名和密码。这就是构建秘密的用武之地。你会坚持你的文件中的身份验证信息，并将您的 Dockerfile 修改为从秘密中读取该信息：

RUN --mount=type=secret,id=mysecret \
  curl -o /data/mydataset -u $(cat /run/secrets/mysecret) \
  https://example.com/dataset

在这个例子中，一旦我们将远程文件复制到图像中，我们已经完成了秘密：我们不需要它来运行图像中的容器；仅在构建期间才需要过程。

注意：以上假设您按照 the documentation 中所述在构建时提供机密，因此您的构建命令可能类似于：

DOCKER_BUILDKIT=1 docker build --secret id=mysecret,src=mysecret.txt -t myimage .