Docker-এ আপনি কীভাবে কনফিগারেশন এবং সিক্রেটস হ্যান্ডেল করেন?

Question

Accepted Answer

কন্টেইনারাইজড অ্যাপ্লিকেশনগুলি ইমেজ পুনর্নির্মাণ ছাড়াই **কনফিগারযোগ্য** হওয়া উচিত — **এনভায়রনমেন্ট ভেরিয়েবল**, কনফিগ ফাইল এবং যথাযথ **সিক্রেটস ম্যানেজমেন্ট** ব্যবহার করে। কনফিগারেশন এবং সিক্রেটস সঠিকভাবে হ্যান্ডেল করা নিরাপত্তা এবং বিভিন্ন পরিবেশে একই ইমেজ চালানোর জন্য গুরুত্বপূর্ণ।

## এনভায়রনমেন্ট ভেরিয়েবলের মাধ্যমে কনফিগারেশন (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

**twelve-factor** নীতি অনুসরণ করে, কনফিগারেশন রানটাইমে **এনভায়রনমেন্ট** (এনভি ভেরিয়েবল) থেকে আসে — তাই একই ইমেজ ডেভ, স্টেজিং এবং প্রোডাকশনে বিভিন্ন কনফিগ দিয়ে চলে, কখনও পরিবেশ অনুযায়ী পুনর্নির্মাণ ছাড়াই।

## সিক্রেটস: সেগুলি ইমেজে বেক করবেন না

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## যথাযথ সিক্রেটস হ্যান্ডলিং

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## এটি কেন গুরুত্বপূর্ণ

Docker-এ কনফিগারেশন এবং সিক্রেটস সঠিকভাবে হ্যান্ডেল করা **নিরাপত্তা** এবং **অপারেশনাল নমনীয়তা** উভয়ের জন্য গুরুত্বপূর্ণ, তাই এটি মূল্যবান ব্যবহারিক জ্ঞান।

কনফিগারেশন নীতি — ইমেজে বেক করার পরিবর্তে রানটাইমে **এনভায়রনমেন্ট ভেরিয়েবলের মাধ্যমে কনফিগারেশন প্রদান করা** (twelve-factor নীতি অনুসরণ করে) — গুরুত্বপূর্ণ কারণ এটি **একই ইমেজকে সমস্ত পরিবেশ** (ডেভ, স্টেজিং, প্রোডাকশন) জুড়ে বিভিন্ন কনফিগ সহ চালাতে দেয়, পুনর্নির্মাণ ছাড়াই, যা প্রজনক্ষম, পোর্টেবল ডিপ্লয়মেন্টের মূল এবং একটি মূল কন্টেইনারাইজেশন অনুশীলন।

আরও গুরুত্বপূর্ণভাবে, **সিক্রেটস হ্যান্ডলিং** একটি গুরুতর নিরাপত্তা উদ্বেগ: মূল নিয়ম — **সিক্রেটস (পাসওয়ার্ড, API কী, টোকেন) কখনও ইমেজে বেক করবেন না** — অপরিহার্য কারণ ইমেজ লেয়ারগুলি পরিদর্শনযোগ্য এবং সেগুলিতে এম্বেড করা সিক্রেটগুলি **নিষ্কাশিত** হতে পারে (এবং পরে