Bagaimana Anda menangani konfigurasi dan rahasia dalam Docker?

Question

Accepted Answer

Aplikasi dalam container harus **dapat dikonfigurasi** tanpa membangun ulang image — menggunakan **variabel environment**, file konfigurasi, dan manajemen **rahasia** yang tepat. Menangani konfigurasi dan rahasia dengan benar penting untuk keamanan dan untuk menjalankan image yang sama di berbagai environment.

## Konfigurasi via variabel environment (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

Mengikuti prinsip **twelve-factor**, konfigurasi berasal dari **environment** (env vars) pada runtime — sehingga IMAGE YANG SAMA berjalan di dev, staging, dan production dengan konfigurasi berbeda, tanpa pernah membangun ulang per environment.

## Rahasia: JANGAN bake ke dalam images

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Penanganan rahasia yang tepat

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## Mengapa ini penting

Menangani konfigurasi dan rahasia dengan benar dalam Docker penting untuk **keamanan** dan **fleksibilitas operasional**, sehingga merupakan pengetahuan praktis yang berharga.

Prinsip konfigurasi — memberikan konfigurasi via **variabel environment pada runtime** daripada bake ke dalam image (mengikuti prinsip twelve-factor) — penting karena memungkinkan **image yang sama berjalan di semua environment** (dev, staging, production) dengan konfigurasi berbeda, tanpa pernah membangun ulang per environment, yang merupakan fondasi dari deployment yang dapat direproduksi, portabel, dan praktik containerization inti.

Lebih penting lagi, **penanganan rahasia** adalah masalah keamanan serius: aturan kunci — **jangan pernah bake rahasia (password, API keys, tokens) ke dalam images** — sangat penting karena layer image dapat diperiksa dan rahasia yang tertanam di dalamnya dapat **diekstrak** (dan tetap ada di layer sebelumnya bahkan jika "dihapus" kemudian), sehingga siapa pun dengan image mendapatkan rahasianya; ini adalah kesalahan umum dan berbahaya yang menyebabkan kebocoran kredensial nyata.

Memahami **penanganan rahasia yang tepat** — variabel environment pada runtime (lebih baik, meskipun terlihat dalam inspect), mekanisme rahasia khusus (Docker/Kubernetes Secrets dipasang secara aman, secrets manager seperti Vault atau AWS Secrets Manager diambil pada runtime, BuildKit build secrets untuk kebutuhan build-time), dan menjaga file `.env` keluar dari version control dan images — diperlukan untuk mengelola rahasia dengan aman.

Karena menjalankan image yang sama di berbagai environment (via konfigurasi berbasis env) dan melindungi rahasia (tidak pernah menanamnya ke dalam images) sama pentingnya untuk deployment containerized yang aman dan fleksibel, dan karena penanganan rahasia yang salah adalah kegagalan keamanan umum dan serius, memahami penanganan konfigurasi dan rahasia dalam Docker — konfigurasi berbasis environment dan manajemen rahasia yang tepat — adalah pengetahuan penting secara praktis untuk men-deploy container dengan aman dan fleksibel, dengan aspek rahasia khususnya merupakan pengetahuan keamanan kritis yang mencegah eksposur kredensial nyata.