从IIS迁移到Linux上的Docker时如何保留集成安全且避免配置明文密码

你担心的域用户运行容器的方案是完全可行的生产级实践，微软针对Windows容器提供了原生的gMSA集成支持，可以完全复用现有集成安全逻辑：

• 域控侧创建专属gMSA账号，按照原有逻辑授予SQL Server访问权限，不需要修改数据库侧的权限配置
• 将运行容器的宿主机加入同公司域，配置宿主机有权限使用该gMSA，生成对应的凭据规范文件
• 启动容器时添加--security-opt "credentialspec=file://你的凭据规范文件名.json"参数，容器内进程会自动以该gMSA身份运行，原有带Integrated Security=True的连接字符串可以完全复用，全程不需要在任何配置文件中写入密码

如果使用Linux容器或者不想依赖域架构，云原生场景的标准实践是使用机密管理系统托管密码：

• 可选的实现包括：Docker Swarm模式的Docker Secrets、Kubernetes内置Secret、HashiCorp Vault等，所有数据库凭据加密存储在机密管理系统中，配置文件内仅保留凭据的引用标识
• 启动容器时通过对应平台的机制将凭据以环境变量、临时内存文件的形式注入到容器内部，应用运行时从环境中读取凭据，不会在镜像、配置文件中留存任何明文密码
• 如果使用公有云部署，还可以配合云厂商的IAM身份服务，实现和原有域集成安全逻辑类似的免密连接，应用通过绑定的IAM身份直接获取数据库访问权限，不需要配置任何密码

如果需要更高的安全等级，可以使用机密管理工具的动态凭据功能：

• 每次应用启动时，机密管理系统自动生成有效期仅数小时的临时数据库账号密码，到期自动失效回收
• 凭据全程自动注入、自动轮转，应用不需要做任何密码相关的硬编码，就算发生凭据泄露也不会造成长期安全风险

内容的提问来源于stack exchange，提问作者Vaccano