非特权模式Ubuntu容器中能否安全存储密码？

结论 #

可以安全存储，但不能依赖传统系统级密钥环（比如Python keyring默认依赖的gnome-keyring、kwallet），必须改用适配容器/非特权场景的方案。

为什么传统密钥环行不通 #

Python的keyring包文档指出：只需添加--privileged标志，即可避免解锁系统密钥环时出现“操作不被允许”的错误。

传统系统密钥环依赖的资源在非特权容器里都被限制了：

• 无法访问主机的D-Bus会话（容器默认做了隔离）
• 没有权限挂载或访问主机的密钥环存储目录
• 部分底层实现需要root权限才能初始化加密存储

可行的替代方案 #

1. 优先用Kubernetes原生Secret（OCP/OKD首选） #

这是最贴合平台安全模型的方案：

• 把密码存入K8s Secret，容器通过环境变量注入或卷挂载读取
• 平台会负责Secret的静态加密存储和传输加密
• 非特权容器只要有该Secret的读取权限就行，完全不需要额外特权

2. 应用级加密存储库 #

选不依赖系统服务的轻量级库：

• Python里用cryptography库直接做AES加密，加密密钥从K8s Secret注入
• 如果平台集成了HashiCorp Vault，用客户端动态拉取密码，本地根本不用存
• 关键点：加密密钥绝对不能硬编码，必须从外部可信源（比如Secret、环境变量）注入

3. 容器内用户级密钥环（仅限特殊场景） #

如果非要用密钥环，可以试试：

• 在容器启动时初始化用户级的gnome-keyring-daemon，同时配置容器内的D-Bus会话
• 但这种方式配置繁琐，只适合单进程容器，生产环境不推荐

安全红线 #

• 绝对别把密码硬编码在镜像、代码或配置文件里
• 容器内禁止明文存储密码，哪怕是临时文件
• 严格遵循最小权限原则：只给容器必要的Secret读取权限，绝不加--privileged或多余的capabilities

内容的提问来源于stack exchange，提问作者mirekphd