L-applikazzjonijiet fi kontenituri għandhom ikunu konfigurabli mingħajr ma jerġa' jinbena l-immaġini — billi tuża varjabbli tal-ambjent, fajls ta' konfigurazzjoni, u ġestjoni xierqa tas-sigriet. Il-ħandle tal-konfigurazzjoni u s-sigriet b'mod korrett hija importanti għas-sigurtà u għall-ġirja tal-istess immaġini madwar ambjenti.
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file . myapp
# in docker-compose.yml
services:
app:
image: myapp
environment:
- DATABASE_URL=postgres://db:5432/app
env_file: .env
Segwendo l-prinċipji ta' twelve-factor, il-konfigurazzjoni ġejja mill-ambjent (varjabbli tal-env) waqt it-tħaddim — għalhekk l-ISTESS immaġini taħdem fl-iżvilupp, fl-istaġjun, u fil-produzzjoni b'konfigurazzjoni differenti, mingħajr ma jerġa' jinbena għal kull ambjent.
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
→ image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
they remain in earlier layers)
→ anyone with the image gets the secrets
→ This is a serious, common security mistake.
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
Il-ħandle tal-konfigurazzjoni u s-sigriet b'mod korrett fil-Docker hija importanti kemm għas-sigurtà kif ukoll għall-flessibilità operazzjonali, għalhekk hija għaruf prattiku ta' valur.
Il-prinċipju tal-konfigurazzjoni — il-provvista ta' konfigurazzjoni permezz ta' varjabbli tal-ambjent waqt it-tħaddim minflok ma tħarbu fil-immaġini (segwendo l-prinċipji ta' twelve-factor) — hija importanti għaliex tagħti l-istess immaġini tħaddim madwar l-ambjenti kollha (iżvilupp, istaġjun, produzzjoni) b'konfigurazzjoni differenti, mingħajr ma jerġa' jinbena għal kull ambjent, li hija fundamentali għad-distribuzzjonijiet riproduċibbli u portabbli u prattika ċentrali ta' containerizzazzjoni.
Aktar kritiku, il-ħandle tas-sigriet hija qagħda ta' sigurtà seria: ir-regola ewlenija — qatt tħarreg sigriet (passwords, API keys, tokens) fil-immaġini — hija essenzjali għaliex l-istrati tal-immaġini huma ispezzjonabbli u s-sigriet inkorporati fihom jistgħu jiġu estratti (u jbaqqu fl-istrati eqdem anke jekk "imħassra" aktar tard), għalhekk kull min għandu l-immaġini jikseb is-sigriet; dan huwa żball komuni u perikolanti li jikkawża tnixxijat ta' kredenzjali reali.
L-għarfien ta' il-ħandle xierqa tas-sigriet — varjabbli tal-ambjent waqt it-tħaddim (aħjar, għalkemm viżibbli fl-ispezzjoni), mekkaniżmi dedikati ta' sigriet (Docker/Kubernetes Secrets immontatji b'mod secure, managers ta' sigriet bħal Vault jew AWS Secrets Manager fetched waqt it-tħaddim, BuildKit build secrets għal ħtiġat waqt il-binja), u għad jżommu l-fajls .env barra mill-kontroll tar-verżjoni u l-immaġini — hija meħtieġa biex jimmaniġġja s-sigriet b'mod secure.
Billi l-ġirja tal-istess immaġini madwar ambjenti (permezz ta' konfigurazzjoni bbażata fuq env) u l-protezzjoni tas-sigriet (qatt ma tħarreg sigriet fil-immaġini) huma kemm importanti għad-distribuzzjonijiet fi kontenituri siguri u flessibili, u billi l-missħandle tas-sigriet huwa falliment komuni u seria ta' sigurtà, l-għarfien tal-ħandle tal-konfigurazzjoni u s-sigriet fil-Docker — il-konfigurazzjoni bbażata fuq l-ambjent u l-ġestjoni xierqa tas-sigriet — huwa għaruf ta' valur, prattikament importanti għad-distribuzzjoni ta' kontenituri b'mod secure u flessibli, b'l-aspett tas-sigriet speċifikament ikun għaruf kritiku ta' sigurtà li jipprevjeni esposizzjoni reali ta' kredenzjali.