Docker मा कन्फिगरेसन र सिक्रेटहरू कसरी ह्यान्डल गर्नुहुन्छ?

Question

Accepted Answer

कन्टेनराइज्ड एप्लिकेसनहरू **कन्फिगरेबल** हुनुपर्छ इमेज पुनर्निर्माण नगरी — **environment variables**, कन्फिग फाइलहरू र उचित **secrets management** प्रयोग गरेर। कन्फिगरेसन र सिक्रेटहरू सही तरिकाले ह्यान्डल गर्नु सुरक्षा र विभिन्न वातावरणमा एउटै इमेज चलाउनको लागि महत्त्वपूर्ण छ।

## Configuration via environment variables (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

**twelve-factor** सिद्धान्तहरू पछ्याएर, कन्फिगरेसन runtime मा **environment** (env vars) बाट आउँछ — त्यसैले एउटै IMAGE dev, staging र production मा विभिन्न कन्फिगरेसनसँग चल्छ, कहिले पनि प्रत्येक वातावरणको लागि पुनर्निर्माण गर्दैन।

## Secrets: तिनलाई इमेजमा बेक गर्नु भएन

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Proper secrets handling

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## किन यो महत्त्वपूर्ण छ

Router मा कन्फिगरेसन र सिक्रेटहरू सही तरिकाले ह्यान्डल गर्नु **सुरक्षा** र **operational flexibility** दुवैको लागि महत्त्वपूर्ण छ, त्यसैले यो मूल्यवान व्यावहारिक ज्ञान हो।

कन्फिगरेसन सिद्धान्त — runtime मा **environment variables को माध्यमबाट कन्फिगरेसन प्रदान गर्नु** इमेजमा बेक गरेर होइन (twelve-factor सिद्धान्त पछ्याएर) — महत्त्वपूर्ण छ किनभने यो **एउटै इमेज सबै वातावरणमा चलाउने** अनुमति दिन्छ (dev, staging, production) विभिन्न कन्फिगरेसनसँग, कहिले पनि पुनर्निर्माण नगरी, जो reproducible, portable deployments को लागि मौलिक र containerization को प्रमुख अभ्यास हो।

अधिक महत्त्वपूर्ण रूपमा, **secrets handling** एक गम्भीर सुरक्षा चिन्ता हो: मुख्य नियम — **कहिले पनि सिक्रेटहरू (passwords, API keys, tokens) इमेजमा बेक गर्नु भएन** — आवश्यक छ किनभने image layers निरीक्षणयोग्य छन् र तिनमा embedded सिक्रेटहरू **निकाल्न सकिन्छन्** (र पछ्याउँदै