如何通过Docker Swarm为Kafka UI Docker镜像配置环境变量

核心问题原因 #

脚本执行后环境变量未被Kafka UI进程继承，大概率是启动逻辑处理不当——要么脚本没正确导出变量，要么原Kafka UI的启动进程没继承脚本的环境上下文。

具体实现步骤 #

1. 编写密钥转换脚本 #

创建load-secrets.sh，读取Swarm Secrets文件并导出为Kafka UI所需的环境变量：

#!/bin/bash

# 从Swarm Secret读取Kafka broker密码，导出为对应环境变量
if [ -f /run/secrets/kafka_broker_password ]; then
    export KAFKA_CLUSTERS_0_PASSWORD=$(cat /run/secrets/kafka_broker_password)
    echo "Loaded Kafka broker password from secret"
fi

# 读取Schema Registry密钥（示例）
if [ -f /run/secrets/kafka_schema_registry_key ]; then
    export KAFKA_CLUSTERS_0_SCHEMAREGISTRY_PASSWORD=$(cat /run/secrets/kafka_schema_registry_key)
    echo "Loaded Schema Registry password from secret"
fi

必须用export声明变量，否则变量仅在脚本自身Shell中有效，后续进程无法读取。

2. 自定义Dockerfile #

基于原Kafka UI镜像，添加脚本并覆盖启动入口，确保脚本先执行，再启动Kafka UI：

FROM provectuslabs/kafka-ui:v0.7.1

# 复制脚本到容器并赋予执行权限
COPY load-secrets.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/load-secrets.sh

# 覆盖ENTRYPOINT：先执行密钥加载脚本，再用exec启动原镜像的启动命令
# exec能让Kafka UI进程成为容器PID 1，保证信号传递正常，同时继承脚本导出的环境变量
ENTRYPOINT ["/bin/bash", "-c", "/usr/local/bin/load-secrets.sh && exec /entrypoint.sh"]

3. 构建并推送自定义镜像 #

执行构建命令（替换为你的镜像仓库地址）：

docker build -t your-registry/custom-kafka-ui:v0.7.1 .
docker push your-registry/custom-kafka-ui:v0.7.1

4. 编写Swarm Compose配置 #

定义服务、挂载Secrets，不要在environment中设置会被脚本覆盖的变量：

version: '3.8'

services:
  kafka-ui:
    image: your-registry/custom-kafka-ui:v0.7.1
    secrets:
      - kafka_broker_password
      - kafka_schema_registry_key
    environment:
      # 只设置非敏感配置，敏感配置交给脚本从Secrets读取
      - KAFKA_CLUSTERS_0_NAME=MyCluster
      - KAFKA_CLUSTERS_0_BOOTSTRAPSERVERS=kafka:9092
      - KAFKA_CLUSTERS_0_SCHEMAREGISTRY=http://schema-registry:8081
    deploy:
      replicas: 1
      placement:
        constraints: [node.role == manager]

secrets:
  kafka_broker_password:
    external: true # 假设已通过`docker secret create kafka_broker_password ./password.txt`创建
  kafka_schema_registry_key:
    external: true

5. 部署服务并验证 #

docker stack deploy -c docker-compose.yml kafka-ui-stack

查看容器日志，确认脚本输出的加载信息，同时检查Kafka UI是否正常连接集群（验证密码生效）。

排查要点 #

• 检查脚本中是否用export导出变量，这是环境变量传递的关键。
• 确认Dockerfile中用exec启动原/entrypoint.sh，避免子Shell导致变量丢失。
• 在脚本中添加echo语句输出变量值（调试用，正式环境可删除），确认密钥已正确读取。

内容的提问来源于stack exchange，提问作者Михаил Васильев