如何在设备上安全存储并加密Docker登录凭据

1. 使用Docker内置凭据存储（推荐） #

Docker原生支持集成系统级安全存储，自动加密保存登录凭据，无需手动处理加密逻辑：

• 执行docker login命令输入用户名密码后，凭据会自动加密存储到对应系统的安全组件：
  • Linux：依赖libsecret或pass工具（需提前安装）
  • macOS：存入Keychain Access
  • Windows：存入Credential Manager
• 后续脚本执行docker pull时，会自动调用存储的凭据，无需再手动输入
• 无交互环境下登录，可通过安全注入的环境变量传递凭据（禁止硬编码到脚本）：

  echo "$DOCKER_PASSWORD" | docker login -u "$DOCKER_USERNAME" --password-stdin
  

2. 本地加密文件存储 #

若需自行管理凭据文件，可通过加密工具将凭据加密后存储，脚本运行时解密读取：

• 用openssl加密凭据文件：
  先创建docker_creds.txt文件（内容格式：username:password），执行加密命令：

  openssl enc -aes-256-cbc -salt -in docker_creds.txt -out docker_creds.enc
  

  输入加密密码（需妥善保管，解密时需用到）
• 脚本中解密并完成登录：

  openssl enc -aes-256-cbc -d -in docker_creds.enc | docker login -u $(cut -d: -f1) --password-stdin
  

  解密密码可通过安全环境变量注入，避免手动输入泄露风险

3. Docker配置文件权限管控 #

Docker登录后，凭据会以base64编码形式存于~/.docker/config.json（非加密，需严格控制文件权限）：

• 将配置文件权限设置为仅当前用户可读：

  chmod 600 ~/.docker/config.json
  

• 确保无其他用户可访问该文件，脚本即可直接使用已存储的凭据执行拉取操作

核心注意事项 #

• 禁止在脚本中硬编码用户名和密码，也不要将任何凭据文件提交到版本控制系统
• 服务器环境优先使用Docker内置凭据存储或系统级密钥管理工具
• 定期轮换Docker Hub凭据，降低泄露后的风险范围

内容的提问来源于stack exchange，提问作者Jayashree Madanala