Bagaimanakah anda mengendalikan konfigurasi dan secret dalam Docker?

Question

IT Interview Practice · Accepted Answer

Aplikasi berasaskan kontena sepatutnya **boleh dikonfigurasi** tanpa membina semula imej — menggunakan **pemboleh ubah persekitaran (environment variables)**, fail konfigurasi, dan **pengurusan secret** yang betul. Mengendalikan konfigurasi dan secret dengan betul adalah penting untuk keselamatan dan untuk menjalankan imej yang sama merentas pelbagai persekitaran.

## Konfigurasi melalui environment variables (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

Mengikut prinsip **twelve-factor**, konfigurasi datang daripada **persekitaran** (environment variables) pada masa runtime — jadi imej yang SAMA berjalan dalam dev, staging, dan produksi dengan konfigurasi berbeza, tanpa perlu membina semula bagi setiap persekitaran.

## Secret: JANGAN benamkan ke dalam imej

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Pengendalian secret yang betul

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## Mengapa ia penting

Mengendalikan konfigurasi dan secret dengan betul dalam Docker adalah penting untuk **keselamatan** dan **fleksibiliti operasi**, jadi ia merupakan pengetahuan praktikal yang bernilai.

Prinsip konfigurasi — menyediakan konfigurasi melalui **environment variables pada masa runtime** dan bukannya membenamkannya ke dalam imej (mengikut prinsip twelve-factor) — adalah penting kerana ia membolehkan **imej yang sama berjalan merentas semua persekitaran** (dev, staging, produksi) dengan konfigurasi berbeza, tanpa membina semula bagi setiap persekitaran, yang merupakan asas kepada penempatan yang boleh diterbitkan semula dan mudah alih serta amalan teras pengkontenaan.

Lebih kritikal lagi, **pengendalian secret** adalah kebimbangan keselamatan yang serius: peraturan utama — **jangan sekali-kali membenamkan secret (kata laluan, API key, token) ke dalam imej** — adalah penting kerana lapisan imej boleh diperiksa dan secret yang terbenam di dalamnya boleh **diekstrak** (dan kekal dalam lapisan terdahulu walaupun "dibuang" kemudian), jadi sesiapa yang memiliki imej itu mendapat secret tersebut; ini adalah kesilapan biasa yang berbahaya dan menyebabkan kebocoran kelayakan sebenar.

Memahami **pengendalian secret yang betul** — environment variables pada masa runtime (lebih baik, walaupun kelihatan dalam inspect), mekanisme secret khusus (Docker/Kubernetes Secrets yang dilekapkan dengan selamat, pengurus secret seperti Vault atau AWS Secrets Manager yang diambil pada masa runtime, BuildKit build secrets untuk keperluan masa pembinaan), dan menyimpan fail `.env` di luar version control serta imej — adalah perlu untuk mengurus secret dengan selamat.

Memandangkan menjalankan imej yang sama merentas persekitaran (melalui konfigurasi berasaskan env) dan melindungi secret (tidak pernah membenamkannya dalam imej) kedua-duanya penting untuk penempatan berasaskan kontena yang selamat dan fleksibel, dan memandangkan salah pengendalian secret merupakan kegagalan keselamatan yang serius dan biasa, memahami pengendalian konfigurasi dan secret dalam Docker — konfigurasi berasaskan persekitaran dan pengurusan secret yang betul — adalah pengetahuan bernilai dan penting secara praktikal untuk menempatkan kontena dengan selamat dan fleksibel, dengan aspek secret secara khususnya menjadi pengetahuan keselamatan kritikal yang mencegah pendedahan kelayakan sebenar.

Konfigurasi melalui environment variables (12-factor)

Secret: JANGAN benamkan ke dalam imej

Pengendalian secret yang betul

Mengapa ia penting

Soalan berkaitan