Programu zenye kontena zinapaswa kuwa zinaweza kusanidiwa bila kujenga upya taswira — kwa kutumia vigezo vya mazingira, faili za kusanidi, na usimamizi sahihi wa siri. Kushughulikia configuration na siri kwa usahihi ni muhimu kwa usalama na kwa kutesha taswira sawa katika mazingira mbalimbali.
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file . myapp
# in docker-compose.yml
services:
app:
image: myapp
environment:
- DATABASE_URL=postgres://db:5432/app
env_file: .env
Kufuata kanuni za twelve-factor, configuration inakuja kutoka mazingira (vigezo vya env) wakati wa utekelezaji — kwa hivyo taswira SAWA inaendesha katika dev, staging, na production na configuration tofauti, bila kujenga upya kwa mazingira tofauti.
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
→ image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
they remain in earlier layers)
→ anyone with the image gets the secrets
→ This is a serious, common security mistake.
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
Kushughulikia configuration na siri kwa usahihi katika Docker ni muhimu kwa usalama na kubadilika kwa uendeshaji, kwa hivyo ni maarifa muhimu ya vitendo.
Kanuni ya configuration — kutoa config kupitia vigezo vya mazingira wakati wa utekelezaji badala ya kuihakikisisha ndani ya taswira (kufuata kanuni za twelve-factor) — ni muhimu kwa sababu inaruhusu taswira sawa kuendesha katika mazingira yote (dev, staging, production) na configuration tofauti, bila kujenga upya kwa mazingira, ambayo ni msingi wa utekelezaji unaozaliana na unaobeba, na ni mbinu ya msingi ya mwenye kontena.
Zaidi ya kawaida, usimamizi wa siri ni wasiwasi kubwa wa usalama: kanuni kuu — USIHAKIKISHE siri (neno la siri, ključevi ya API, tokens) ndani ya taswira — ni muhimu kwa sababu tabaka la taswira linaweza kuzingatiwa na siri zilizohakikishwa ndani yake zinaweza kucimwa (na kuibuka katika tabaka la awali hata kama "kuondolewa" baadaye), kwa hivyo mtu yeyote anaye na taswira anapata siri; hii ni kosa la kawaida, hatari ambalo husababisha uvujaji halisi wa sifa za ujumbe.
Kuelewa usimamizi sahihu wa siri — vigezo vya mazingira wakati wa utekelezaji (vizuri, ingawa inaweza kuonekana katika ukaguzi), mitaratibu ya siri ya kadhaa (Docker/Kubernetes Secrets iliyohusishwa kwa usalama, wasifu wa siri kama Vault au AWS Secrets Manager zilizokusanya wakati wa utekelezaji, siri za kujenga BuildKit kwa mahitaji ya muda wa kujenga), na kuendelea faili za .env nje ya udhibiti wa toleo na taswira — ni muhimu kusimamia siri kwa usalama.
Kwa sababu kuendesha taswira sawa katika mazingira (kupitia config yenye msingi wa env) na kulinda siri (USIHAKIKISHE kuwa zimeingizwa ndani ya taswira) ni muhimu kwa utekelezaji wa kontena unaoweza kuamini na lenye kubadilika, na kwa sababu usimamizi mbaya wa siri ni kuzaliwa kwa kawaida, kuzaliwa kwa usalama, kuelewa configuration na usimamizi wa siri katika Docker — config inayotegemea mazingira na usimamizi sahihu wa siri — ni maarifa muhimu, ya vitendo kwa ajili ya kutesha kontena kwa usalama na kubadilika, na vipengele vya siri kuwa na maarifa ya usalama wa muhimu sana ambayo husambaza uvujaji halisi wa sifa za ujumbe.