Bagaimanakah anda mengendalikan konfigurasi dan secret dalam Docker?

Question

Accepted Answer

Aplikasi berasaskan kontena sepatutnya **boleh dikonfigurasi** tanpa membina semula imej — menggunakan **pemboleh ubah persekitaran (environment variables)**, fail konfigurasi, dan **pengurusan secret** yang betul. Mengendalikan konfigurasi dan secret dengan betul adalah penting untuk keselamatan dan untuk menjalankan imej yang sama merentas pelbagai persekitaran.

## Konfigurasi melalui environment variables (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

Mengikut prinsip **twelve-factor**, konfigurasi datang daripada **persekitaran** (environment variables) pada masa runtime — jadi imej yang SAMA berjalan dalam dev, staging, dan produksi dengan konfigurasi berbeza, tanpa perlu membina semula bagi setiap persekitaran.

## Secret: JANGAN benamkan ke dalam imej

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Pengendalian secret yang betul

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## Mengapa ia penting

Mengendalikan konfigurasi dan secret dengan betul dalam Docker adalah penting untuk **keselamatan** dan **fleksibiliti operasi**, jadi ia merupakan pengetahuan praktikal yang bernilai.

Prinsip konfigurasi — menyediakan konfigurasi melalui **environment variables pada masa runtime** dan bukannya membenamkannya ke dalam imej (mengikut prinsip twelve-factor) — adalah penting kerana ia membolehkan **imej yang sama berjalan merentas semua persekitaran** (dev, staging, produksi) dengan konfigurasi berbeza, tanpa membina semula bagi setiap persekitaran, yang merupakan asas kepada penempatan yang boleh diterbitkan semula dan mudah alih serta amalan teras pengkontenaan.

Lebih kritikal lagi, **pengendalian secret** adalah kebimbangan keselamatan yang serius: peraturan utama — **jangan sekali-kali membenamkan secret (kata laluan, API key, token) ke dalam imej** — adalah penting kerana lapisan imej boleh diperiksa dan secret yang terbenam di dalamnya boleh **diekstrak** (dan kekal dalam lapisan terdahulu walaupun "dibuang" kemudian), jadi sesiapa yang memiliki imej itu mendapat secret tersebut; ini adalah kesilapan biasa yang berbahaya dan menyebabkan kebocoran kelayakan sebenar.

Memahami **pengendalian secret yang betul** — environment variables pada masa runtime (lebih baik, walaupun kelihatan dalam inspect), mekanisme secret khusus (Docker/Kubernetes Secrets yang dilekapkan dengan selamat, pengurus secret seperti Vault atau AWS Secrets Manager yang diambil pada masa runtime, BuildKit build secrets untuk keperluan masa pembinaan), dan menyimpan fail `.env` di luar version control serta imej — adalah perlu untuk mengurus secret dengan selamat.

Memandangkan menjalankan imej yang sama merentas persekitaran (melalui konfigurasi berasaskan env) dan melindungi secret (tidak pernah membenamkannya dalam imej) kedua-duanya penting untuk penempatan berasaskan kontena yang selamat dan fleksibel, dan memandangkan salah pengendalian secret merupakan kegagalan keselamatan yang serius dan biasa, memahami pengendalian konfigurasi dan secret dalam Docker — konfigurasi berasaskan persekitaran dan pengurusan secret yang betul — adalah pengetahuan bernilai dan penting secara praktikal untuk menempatkan kontena dengan selamat dan fleksibel, dengan aspek secret secara khususnya menjadi pengetahuan keselamatan kritikal yang mencegah pendedahan kelayakan sebenar.