如何将Dockerfile中ENTRYPOINT脚本输出设为容器环境变量？

Docker的构建阶段（RUN指令执行阶段）和容器运行阶段（ENTRYPOINT/CMD执行阶段）是完全隔离的环境：

• RUN指令在镜像构建时执行，此时容器还未启动，你的script.sh并没有在这个阶段运行，自然${val}变量为空。
• 你的script.sh是作为ENTRYPOINT在容器启动时才执行的，这时候获取的Vault值只存在于容器运行时的环境中，无法回溯到构建阶段。

1. 容器启动时注入环境变量（推荐，安全） #

修改你的script.sh，在获取Vault值后将其导出为环境变量，再启动应用程序：

#!/bin/bash
# 从Vault获取目标值（替换为你的实际Vault命令）
VAL=$(vault kv get -field=your-key secret/your-path)
# 导出为环境变量
export VAL=$VAL
# 执行容器的主程序，确保传递后续命令参数
exec "$@"

对应的Dockerfile配置：

COPY script.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/script.sh
ENTRYPOINT ["script.sh"]
CMD ["your-app-command"]  # 替换为你的应用启动命令

这样容器启动后，你的应用程序就能直接读取$VAL环境变量了。

2. 用Kubernetes Vault Agent自动注入（生产级方案） #

如果是在Kubernetes环境中，推荐使用HashiCorp官方的Vault Agent Injector，它可以自动将Vault秘密注入到Pod的环境变量或Volume中，无需手动写脚本：

• 先确保集群中已部署Vault Agent Injector
• 在Pod的注解中配置要注入的秘密：

apiVersion: v1
kind: Pod
metadata:
  name: your-pod
  annotations:
    vault.hashicorp.com/agent-inject: "true"
    vault.hashicorp.com/role: "your-vault-role"  # 已绑定K8s服务账户的Vault角色
    vault.hashicorp.com/secrets: |
      [
        {
          "path": "secret/data/your-path",  # Vault秘密路径
          "env": "VAL"  # 要注入的环境变量名
        }
      ]
spec:
  serviceAccountName: your-k8s-service-account  # 已关联Vault角色的K8s服务账户
  containers:
  - name: your-container
    image: your-image:tag

这种方式更安全，秘密不会暴露在镜像或脚本中，且支持自动刷新秘密。

3. 构建阶段注入（不推荐，有安全风险） #

如果必须在构建阶段获取Vault值（仅适合非敏感静态配置），可以直接在RUN中调用脚本并捕获输出，但要注意：

• 构建时需要访问Vault的网络权限和凭证
• 敏感数据会被写入镜像层，存在泄露风险

COPY script.sh /tmp/
RUN chmod +x /tmp/script.sh && \
    VAL=$(/tmp/script.sh) && \
    echo "export VAL=$VAL" >> /etc/profile.d/vault-env.sh

这样容器启动时，会加载/etc/profile.d中的脚本，注入环境变量，但强烈不推荐用于敏感数据。

内容的提问来源于stack exchange，提问作者knowledge20