Conas a bhainistríonn tú cumraitheoireacht agus rúnda i Docker?

Question

Accepted Answer

Ba chóir go mbeadh feidhmchláir i gcontáiméara **inchumraithe** gan an íomhá a athdhéanamh — ag úsáid **athróg timpeallachta**, comhaid chumraitheoireachta, agus **bainistríocht rúnda** dhílse. Tá sé tábhachtach cumraitheoireacht agus rúnda a láimhseáil i gceart ar son slándálacha agus ar son an íomhá céanna a rith ar fud timpeallachtaí.

## Cumraitheoireacht trí athróg timpeallachta (fachtóir 12)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

Déanann an tairbhe **dhá fhachtóir dhéag** an méid seo a leanas: tagann cumraitheoireacht ó **timpeallacht** (athróga timpeallachta) ag an am rith — ionas gur rithionn an ÍOMHÁ CÉANNA i dev, staging, agus táirgcháin le cumraitheoireacht dhifriúil, gan athdhéanamh in aghaidh an timpeallachta.

## Rúnda: ná cuir iad i híomhá

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Bainistríocht rúnda dhúinn

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## Cén fáth a bhfuil sé tábhachtach

Tá sé tábhachtach cumraitheoireacht agus rúnda a láimhseáil i gceart i Docker do **shlándálacha** agus do **fhragrúlacht oibríochta**, agus dá bharr sin is eolas praiticiúil fiúntach atá ann.

Tá an prionsabal cumraitheoireachta — cumraitheoireacht a sholáthar trí **athróga timpeallachta ag am rith** seachas a dhúnmharú san íomhá (ag gealltanais dhá fhachtóir dhéag) — tábhachtach toisc go gceadaíonn sé do **an íomhá céanna rith ar fud gach timpeallachta** (dev, staging, táirgcháin) le cumraitheoireacht dhifriúil, gan athdhéanamh in aghaidh an timpeallachta, agus is féin-bhunúsach an méid sin do thrasuaitheadh inchomhthromaigthe agus do chleachtas cumraithe páirt is bunúsach.

Níos tríomaighe, is gné dhíobhálach slándála é **bainistríocht rúnda**: an ríail phríomhúil — **ná cuir rúnda (focail bhéime, eochracha API, tonnadóireacht) i híomhá ar dhóigh ar bith** — is riachtanach toisc go bhfuil sraitheanna íomhá inspionadh agus is féidir rúnda atá leabaithe iontu a **bhaint amach** (agus fanaíonn siad i sraitheanna níos luaithe fiú más "baintear" iad níos déanach), ionas go bhfuigann gach duine a bhfuil an íomhá aici na rúnda; is earráid choiteann, dhíobhálach atá ann agus a chruthaíonn scaoileadh bailí breosla.

Tá tuiscint ar **bhainistríocht rúnda dhúinn** — athróga timpeallachta ag am rith (níos fearr, cé go bhfuil siad infhaic i ngrinniam), meicníochtaí rúnda tiomáinte (Rúnda Docker/Kubernetes foluainithe go slán, bainisteorí rúnda ar nós Vault nó AWS Secrets Manager faighte ag am rith, rúnda tógála BuildKit ar feadh riachtanais thógála), agus comhaid `.env` a choinneáil as rialú leagain agus íomhánna — riachtanach chun rúnda a bhainistríonn go slán.

Os rud é go bhfuil an íomhá céanna a rith ar fud timpeallachtaí (trí chumraitheoireacht bhunaithe ar env) agus rúnda a chosaint (ná cuir iad i híomhá ar dhóigh ar bith) araon tábhachtach do thuairimí slándála agus solúbtha i líonrú cumraithe, agus os rud é go bhfuil droch-bhainistríocht ar rúnda ina n-teip slándála coiteann, is eolas tábhachtach, praiticiúil a bhí ann — cumraitheoireacht agus bainistríocht rúnda i Docker — cumraitheoireacht bhunaithe ar env agus bainistríocht rúnda dhúinn — do chóras cumraithe slándála agus solúbtha a chur i bhfeidhm, agus go háirithe an ghné rúnda atá ina eolas slándála riachtanach a sheachaint scaoileadh bailí breosla.