Kako rukuješ konfiguracijom i tajnama u Dockeru?

Question

Accepted Answer

Kontejnerizirane aplikacije trebaju biti **konfigurabilirane** bez ponovnog gradenja slike — korištenjem **varijabli okruženja**, config datoteka i pravilnog **upravljanja tajnama**. Pravilno rukovanje konfiguracijom i tajnama važno je za sigurnost i za pokretanje iste slike u različitim okruženjima.

## Konfiguracija preko varijabli okruženja (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

Slijedeći **twelve-factor** principe, konfiguracija dolazi iz **okruženja** (env varijable) tijekom izvršavanja — što znači da ISTA slika radi u dev, staging i production okruženju s različitom konfiguracijom, nikad ne trebajući ponovno graditi po okruženju.

## Tajne: NEMOJ ih graditi u slike

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Pravilno rukovanje tajnama

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## Zašto je to važno

Pravilno rukovanje konfiguracijom i tajnama u Dockeru važno je za **sigurnost** i **operativnu fleksibilnost**, pa je to vrijedna praktična znanja.

Prinzip konfiguracije — pružanje konfiguracije preko **varijabli okruženja tijekom izvršavanja** umjesto gradnje u sliku (slijedeći twelve-factor principe) — je važan jer omogućava da **ista slika radi u svim okruženjima** (dev, staging, production) s različitom konfiguracijom, nikad ne trebajući ponovno graditi po okruženju, što je fundamentalno za reproducibilne, prenosive implementacije i temeljnu praksu kontejnerizacije.

Još kritičnije, **rukovanje tajnama** je ozbiljna sigurnosna briga: ključno pravilo — **nikad ne gradite tajne (lozinke, API ključeve, tokene) u slike** — je esencijalno jer su slojevi slika ispitivi i tajne ugrađene u njih mogu biti **izvučene** (i ostaju u ranijim slojevima čak i ako se kasnije "uklone"), pa svako s slikom dobije tajne; ovo je česta, opasna greška koja uzrokuje pravi curenje kredencijala.

Razumijevanje **pravilnog rukovanja tajnama** — varijable okruženja tijekom izvršavanja (bolje, mada vidljive pri inspekciji), dedicirani mehanizmi tajni (Docker/Kubernetes Secrets montirani sigurno, upravljači tajni kao Vault ili AWS Secrets Manager dohvaćeni tijekom izvršavanja, BuildKit tajne gradnje za potrebe gradnje), i čuvanje `.env` datoteka izvan kontrole verzije i slika — je potrebno za sigurno upravljanje tajnama.

Budući da je pokretanje iste slike kroz okruženja (preko env-bazne konfiguracije) i zaštita tajni (nikad ne ugrađivanje u slike) važno za sigurne, fleksibilne kontejneriziraने implementacije, i budući da je pogrešno rukovanje tajnama ozbiljna, česta sigurnosna greška, razumijevanje rukovanja konfiguracijom i tajnama u Dockeru — env-bazne konfiguracije i pravilnog upravljanja tajnama — je vrijedna, praktično-važna znanja za sigurnu i fleksibilnu implementaciju kontejnera, pri čemu je aspekt tajni posebno kritičan za sigurnost koji sprječava pravo curenje kredencijala.