Hogyan kezelitek a konfigurációt és a titkos adatokat a Dockerben?

Question

Accepted Answer

A containerizált alkalmazásoknak **konfigurálhatóaknak** kell lenniük anélkül, hogy újraépítenétek a képet — **környezeti változók**, konfigurációs fájlok és megfelelő **titkos adatok kezelése** segítségével. A konfigurációt és a titkos adatokat helyesen kezelni fontos a biztonság és az azonos képnek a különböző környezetekben való futtatása szempontjából.

## Konfigurálás környezeti változókkal (12 faktor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

A **twelve-factor** alapelvek követésével a konfiguráció a futásidőben az **környezetből** érkezik (env vars) — így az UGYANAZ a képet futtatja a dev, staging és production környezetben eltérő konfigurációval, soha nem újraépítve környezetenként.

## Titkos adatok: NE égessetek bele a képekbe

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Megfelelő titkos adatok kezelése

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## Miért fontos

A Docker-ben a konfiguráció és titkos adatok helyes kezelése a **biztonság** és az **operatív rugalmasság** szempontjából egyaránt fontos, ezért értékes gyakorlati tudás.

A konfigurációs elv — a konfiguráció futásidőben **környezeti változókon keresztül** való biztosítása a képbe való beépítés helyett (twelve-factor alapelvek követésével) — azért fontos, mert lehetővé teszi az **azonos képnek a futtatását az összes környezetben** (dev, staging, production) eltérő konfigurációval, soha nem újraépítve környezetenként, ami az ismételhető, hordozható telepítések alapja és a containerizáció alapvető gyakorlata.

Még kritikusabbak a **titkos adatok kezelésének** nézőpontjából: a főszabály — **soha ne építsetek be titkos adatokat (jelszavakat, API kulcsokat, tokeneket) a képekbe** — elengedhetetlen, mert a képrétegek megvizsgálhatóak és a bennük beágyazott titkos adatok **kinyerhetőek** (és az előző rétegekben is megmaradnak, még ha később „eltávolítva