Docker Compose如何安全管理凭据？单主机场景下的可行方案

先回应你提到的环境变量安全性问题：环境变量确实会在容器的env输出、容器元数据中明文可见，若主机或容器被非法访问，凭据有泄露风险。不过在单主机且严格管控主机访问权限的场景下，风险相对可控，但如果要更高安全性，有更合适的方案。

以下是几种无需依赖Docker Swarm、安全且易上手的凭据管理方式：

1. Docker Compose 原生单主机 Secrets（推荐） #

Docker Compose 3.1+ 版本支持单主机使用secrets功能，完全不需要启用Swarm，是最贴近你需求的标准化方案：

• 步骤1：在主机上创建存储凭据的文件，比如./db_password.txt，只写入密码内容（不要加多余字符），然后设置严格权限：

  chmod 600 db_password.txt
  

• 步骤2：在docker-compose.yml中配置secrets和服务引用：

  version: '3.1'
  
  services:
    db:
      image: mysql:8.0
      secrets:
        - db_password
      environment:
        # 让服务从文件读取密码，而非环境变量
        MYSQL_ROOT_PASSWORD_FILE: /run/secrets/db_password
  
  secrets:
    db_password:
      file: ./db_password.txt
  

• 安全性说明：凭据以只读文件的形式挂载到容器内，不会出现在环境变量或容器元数据中，主机上的凭据文件权限严格，只有所有者能访问，安全性远高于环境变量方案。

2. 带严格权限控制的 .env 文件 #

如果觉得secrets配置稍显繁琐，也可以用.env文件，但必须做好权限管控：

• 步骤1：创建.env文件写入凭据：

  DB_PASSWORD=your_strong_password_here
  

• 步骤2：设置文件权限为600，避免其他用户读取：

  chmod 600 .env
  

• 步骤3：在docker-compose.yml中引用变量：

  services:
    db:
      image: mysql:8.0
      environment:
        MYSQL_ROOT_PASSWORD: ${DB_PASSWORD}
  

• 注意：这种方式下容器内仍能通过env命令看到明文密码，所以仅适用于对容器内部信任度较高的场景。

3. 挂载主机加密存储的凭据文件 #

如果你的Ubuntu主机使用了LUKS加密分区，可以把凭据放在加密分区内，再挂载到容器：

• 将凭据文件存放在加密分区路径下，比如/encrypted/db_password.txt
• 在docker-compose.yml中以只读方式挂载该文件：

  services:
    db:
      image: mysql:8.0
      volumes:
        - /encrypted/db_password.txt:/run/secrets/db_password:ro
      environment:
        MYSQL_ROOT_PASSWORD_FILE: /run/secrets/db_password
  

• 这种方式依赖主机的加密机制，只要加密分区未被解锁，凭据就无法被访问，安全性极高，但需要提前配置主机的加密存储。

内容的提问来源于stack exchange，提问作者Tando