☰

Como usar um valor secreto docker/swarm como uma variável de ambiente em "docker service create"?

tag-icon • tag-icon docker-swarm
Como usar um valor secreto docker/swarm como uma variável de ambiente em "docker service create"?

Preciso escrever scripts que criem serviços em clusters do docker swarm. Um script de exemplo seria semelhante a este:

docker service create \
    --name postgres \
    --mode global \
    --constraint "node.labels.postgres==master" \
    --network my-network \
    --env POSTGRES_USER="postgres" \
    --env POSTGRES_PASSWORD="****" \
    postgres:10

As variáveis ​​de ambiente POSTGRES_USER e POSTGRES_PASSWORD devem vir dos segredos do docker. Por exemplo:

echo "example_password" | docker secret create postgres-password -

Entendo que o segredo pode ser acessado como um arquivo dentro de um contêiner em execução. Mas no exemplo acima, ele deve ser passado para o comando "service create" como uma variável de ambiente. É utilizado pelo ponto de entrada do container, portanto deve ser apresentado ANTES da criação do container. Então, como posso passar um segredo para a opção --env do comando "docker service create"?

Responder1

Como afirmado aquihttps://github.com/docker-library/docs/blob/master/postgres/README.mdvocê pode usar segredos do swarm no serviço postgres ao adicionar o sufixo _FILE como:

docker service create \
    --name postgres \
    --mode global \
    --constraint "node.labels.postgres==master" \
    --network my-network \
    --secret "postgres-password" \
    --env POSTGRES_USER="postgres" \
    --env POSTGRES_PASSWORD_FILE="/run/secrets/postgres-password" \
    postgres:10

Se você perguntar sobre uma solução genérica para qualquer serviço, não é possível sem a criação de um contêiner ou serviço, que expõe as senhas em texto não criptografado (digamos, Nginx, que lê senhas de arquivos que são secretos)

informação relacionada