如何在Docker中安全持久化存储pfx文件且避免被其他应用访问

访问隔离（防止其他应用非法读取） #

• 禁用镜像内置敏感文件
  永远不要将PFX文件通过COPY/ADD指令打包进Docker镜像，镜像的可追溯层会永久留存敏感文件，即便后续删除也可以通过历史层恢复。
• 最小权限只读挂载
  提前在宿主机上将PFX文件的权限设置为600，仅授权容器运行应用对应的UID访问：

  # 替换为容器内运行应用的实际UID、GID
  chown 1001:1001 /host/path/your.pfx
  chmod 600 /host/path/your.pfx
  

  启动容器时以只读模式挂载该文件，禁止容器内修改权限或内容：

  docker run -v /host/path/your.pfx:/container/app/path/your.pfx:ro your_image
  

  未主动挂载该文件的其他容器、宿主机上非授权用户都无法读取PFX内容。
• 敏感凭证隔离存储
  PFX的解密密码不要通过环境变量传递，避免docker inspect或者进程列表泄露密码，使用Docker Secrets存储密码，应用运行时直接从/run/secrets/路径读取即可，单节点/集群环境都适用。
• 容器运行时降权
  不要用root用户运行容器，在Dockerfile中提前通过USER指令指定普通非特权用户启动应用，同时不要添加--privileged等高危运行参数，避免容器被突破后高权限窃取敏感文件。

全生命周期持久化 #

• 优先使用独立存储挂载
  不要将PFX存放在容器的可写层，容器删除、重建时可写层数据会被清空。使用宿主机绑定挂载或者Docker独立卷存储PFX，存储资源的生命周期独立于容器，只要不主动删除存储内容，容器重建、升级都不会丢失PFX文件。
• 加密卷持久化
  如果需要更高安全性可以使用加密Docker卷，存储后端基于LUKS加密，即便宿主机磁盘被物理窃取也无法直接读取PFX内容，创建加密卷示例：

  docker volume create --driver local --opt type=luks --opt device=/path/to/device --opt o=encryption=aes-256-gcm pfx_encrypted_volume
  

  启动容器时挂载加密卷即可，卷内数据会永久留存。
• 离线加密备份
  定期对PFX源文件做离线加密备份，备份文件与运行环境物理隔离，避免磁盘损坏、宿主机故障导致PFX永久丢失。

额外提示：多租户Docker环境需要开启User Namespace特性，将容器内的root用户映射到宿主机的无权限虚拟用户，避免权限溢出读取宿主机敏感资源。

内容的提问来源于stack exchange，提问作者Anu Hardin