آپ Docker میں configuration اور secrets کو کیسے سنبھالتے ہیں؟

Question

Accepted Answer

کنٹینرائزڈ ایپلیکیشنز کو **قابل تشکیل** ہونا چاہیے - image کو دوبارہ بنائے بغیر — **environment variables**، config files، اور صحیح **secrets management** استعمال کرتے ہوئے۔ Configuration اور secrets کو صحیح طریقے سے سنبھالنا سیکیورٹی اور ماحول کے ذریعے ایک جیسی image چلانے کے لیے اہم ہے۔

## Environment variables کے ذریعے Configuration (12-factor)

```bash
# pass config at RUNTIME via environment variables (not baked into the image)
docker run -e DATABASE_URL=postgres://... -e NODE_ENV=production myapp
docker run --env-file .env myapp        # load many from a file
```

```yaml
# in docker-compose.yml
services:
  app:
    image: myapp
    environment:
      - DATABASE_URL=postgres://db:5432/app
    env_file: .env
```

**twelve-factor** اصولوں پر عمل کرتے ہوئے، configuration **environment** (env vars) سے runtime پر آتی ہے — اس لیے SAME image dev، staging، اور production میں مختلف config کے ساتھ چلتی ہے، کبھی ماحول کے لیے دوبارہ نہیں بنائی جاتی۔

## Secrets: انہیں images میں bake نہ کریں

```text
⚠️ NEVER put secrets (passwords, API keys, tokens) in the Dockerfile or image layers:
  → image layers are inspectable → secrets can be EXTRACTED (even if "removed" later,
    they remain in earlier layers)
  → anyone with the image gets the secrets
→ This is a serious, common security mistake.
```

## Secrets کی صحیح سنبھال

```text
✓ RUNTIME environment variables (better than image, but visible in inspect/env)
✓ DOCKER SECRETS (Swarm) / Kubernetes Secrets — mounted securely at runtime
✓ Secrets MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc. (fetch at runtime)
✓ BuildKit build secrets (--secret) — for build-time secrets without baking into layers
✓ Keep .env files OUT of version control (.gitignore) and out of the image (.dockerignore)
```

## یہ کیوں اہم ہے

Docker میں configuration اور secrets کو صحیح طریقے سے سنبھالنا **سیکیورٹی** اور **operational flexibility** دونوں کے لیے اہم ہے، اس لیے یہ قیمتی عملی علم ہے۔

Configuration کا اصول — **image کو دوبارہ بنائے بغیر runtime پر environment variables کے ذریعے config فراہم کرنا** (twelve-factor اصولوں پی عمل کرتے ہوئے) — اہم ہے کیونکہ یہ **ایک جیسی image کو تمام ماحول میں** (dev، staging، production) مختلف configuration کے ساتھ چلانے دیتا ہے، جو reproducible، portable deployments کے لیے بنیادی ہے اور containerization کی بنیادی practice ہے۔

زیادہ اہم بات یہ ہے کہ، **secrets handling** ایک سنجیدہ سیکیورٹی کے مسئلے ہے: اہم قاعدہ — **secrets (passwords، API keys، tokens) کو images میں bake نہ کریں** — ضروری ہے کیونکہ image layers قابلِ معائنہ ہیں اور ان میں embedded secrets کو **نکالا** جا سکتا ہے (اور بعد میں