Docker secrets – безопасное хранилище для чувствительных данных

Прежде чем переходить к описанию работы с «секретами», давайте создадим демонстрационное приложение. Для этого создайте директорию docker_secrets_example:

$ mkdir docker_secrets_example
$ cd docker_secrets_example

Создайте в нем файл requirements.txt, содержащий следующую информацию:

click==6.7
Flask==0.12
itsdangerous==0.24
Jinja2==2.9.5
MarkupSafe==0.23
Werkzeug==0.11.15
wheel==0.24.0

Создайте и активируйте виртуальное окружение, а затем установите зависимости

$ virtualenv venv
$ source venv/bin/activate
$ pip install -r requirements.txt

Создайте файл app.py, который будет содержать код нашего приложения

#!/usr/bin/env python
# -*- coding: utf-8 -*-
from flask import Flask
from flask import render_template

app = Flask(__name__)

@app.route('/')
def index():
  try:
    db_password = None
    f = open('/run/secrets/db-password', 'r')
    db_password = f.readline()
  except IOError:
    pass
  finally:
    return render_template('index.html', password=db_password)

if __name__ == '__main__':
  app.run(debug=True,host='0.0.0.0')

А также необходимо создать директорию templates и поместить внутрь файл index.html со следующим содержимым:

Docker secrets demo
{% if password %}
Your secret password: 
{% else %} No password specified! {% endif %}

Внутри рабочей директории создайте файл Dockerfile со следующим содержимым, чтобы иметь возможность собирать ваш Docker образ:

FROM python:2.7
MAINTAINER Andrey Maksimov 'maksimov.andrei@gmail.com'
COPY . /app
WORKDIR /app
RUN pip install -r requirements.txt
EXPOSE 5000
CMD ["python", "app.py"]

Структура вашего приложения на текущий момент без учета виртуального окружения (venv) будет следующей:

$ tree -I venv docker_secrets_example
docker_secrets_example
├── Dockerfile
├── app.py
├── requirements.txt
└── templates
    └── index.html

1 directory, 4 files

После того, как приложение заработало, его необходимо упаковать в контейнер. Для этого необходимо выполнить команду:

$ docker build -t amaksimov/docker_secrets_example:v0.1 .

Для корректной работы сервисов в Docker Swarm кластере, опубликуйте ваш собранный образ в вашем репозитории:

$ docker push amaksimov/docker_secrets_example:v0.1

Важно: если этого не сделать, в процессе запуска сервиса команда docker service createбудет выдавать сложно интерпретируемую ошибку.

Создайте в рабочей директории файл password.txt который будет содержать секретную информацию, например, пароль к базе данных this-is-my-super-secret-password. Чтобы дать возможность вашим приложениям использовать этот секретный пароль, выполните коману:

	 $ docker secret create db-password password.txt

Эта команда создаст «секрет» с именем db-password, используя содержимое файла password.txt

Также вы можете создавать «секреты», используя информацию со стандартного потока вводавывода:

	 $ LC_ALL=C < /dev/urandom tr -dc '_A-Z-a-z-0-9' | head -c 32 | docker secret create db-password -

Эта команда также создаст «секрет» db-password, но уже используя сгенерированную информацию из /dev/urandom.

Все созданные в кластере секреты могут быть просмотрены при помощи команды:

$ docker secret ls
ID                          NAME                CREATED             UPDATED
iokqhuhj7ix9a57joiarivv8n   db-password         3 hours ago         3 hours ago

Удаление «секретов» также осуществляется достаточно просто:

	 $ docker secret rm db-password

К сожалению, для того, чтобы добавить секрет к сервису, последний придется пересоздать, предварительно выполнив команду:

	 $ docker service rm docker_secrets_example

Также к сожалению, для того, чтобы обновить секрет у сервиса, его придется пересоздать.

В этой статье мы рассмотрели еще одну возможность Docker, предназначенную для безопасной работы с чувствительными данными ваших приложений. Если у вас возникли какие-либо вопросы, буду рад ответить на них в комментариях в конце статьи.