如何使用我的 gpg 密鑰解密 docker 容器中的文件而不將其保存在圖像中？

Question

我正在使用氣流和 dockerOperator 連接到 docker 守護進程並啟動一個容器。

作為我的管道的一部分，這個容器需要使用 gpg 解密文件。

如果我在 docker build 期間復制 gpg 密鑰，那么它將永遠與圖像分開，這感覺不安全嗎？

我已經調查過我是否可以將密鑰放入環境變量中並以這種方式傳遞它，即通過 dockers -e VAR:VAL語法。 我能想到的唯一另一種方法是將我的本地.gnupg文件掛載到容器中並使用它，但是這只在我在本地機器上時才有效。 我希望能夠在某個階段遷移到 ECS 或 kubernetes。

Answer 1

您說得對，在 docker build 期間添加密鑰是不安全的。

env var 是一種有效的方式。 如果您以后使用 kubernetes，您可以安全地將您的密鑰保存為 kubernetes 中的秘密。 部署時，您可以通過 env 向容器提供機密。

您還可以通過使用卷從 kubernetes 秘密中提供秘密作為文件，並在本地安裝卷並提供密鑰文件。

這些是 kubernetes 秘密的官方文檔： https ://kubernetes.io/docs/concepts/configuration/secret/

我不熟悉 ECS，但我肯定有類似的方法。