1. 概述
在 Docker 中保护密码是保障容器化应用安全的重要环节。很多外部服务和数据库都需要通过密码进行身份验证，如果密码处理不当，可能会导致敏感信息泄露，进而危及整个系统安全。
本文将介绍几种在 Docker 中保护密码的常用方法，包括环境变量、密钥管理工具（如 Vault）以及 Docker 自带的 Secrets 机制，并给出最佳实践建议。
2. 密码安全的重要性
密码是访问外部服务或数据库的常见凭证。云服务、数据库以及第三方服务通常都需要认证。如果这些密码没有被妥善保护，就可能被未经授权的用户获取，从而导致敏感数据泄露。
✅ 容器环境具有短暂性和动态性，因此保护密码尤为重要。
3. 使用环境变量传递密码
使用环境变量是向容器传递密码的最简单方式。可以通过 -e 参数在运行容器时设置。
示例命令如下：
$ docker run --name mysql -p 3306:3306 -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql
在这个 MySQL 容器中，MYSQL_ROOT_PASSWORD 环境变量用于设置 root 用户的密码。
优点
- 不会存储在镜像中，避免被提交到代码仓库
- 修改方便，无需重新构建镜像
缺点
- 容器内所有进程都可以访问环境变量
- 在多租户环境中存在泄露风险，不适合存储敏感数据
⚠️ 不建议用于敏感信息的长期存储。
4. 使用密钥管理工具（如 Vault）
为了更安全地管理和存储密码，可以使用像 Vault 这样的密钥管理工具。这类工具通常提供安全的 API 用于存储和获取密钥，并支持与容器化环境集成。
4.1 启动 Vault 容器并存储密码
启动一个 Vault 容器，并设置相关参数：
$ docker run -itd --cap-add=IPC_LOCK \
-e 'VAULT_DEV_ROOT_TOKEN_ID=myroot' \
-e 'VAULT_DEV_LISTEN_ADDRESS=0.0.0.0:8200' \
-p 8200:8200 --name vault vault
设置 Vault 地址：
$ export VAULT_ADDR='http://127.0.0.1:8200'
登录并创建一个密码密钥：
$ vault login myroot
$ vault kv put secret/test password=mysecretpasswordtest
4.2 从容器中获取密码
启动另一个容器并获取存储在 Vault 中的密码：
$ docker run --rm --network=host \
-e 'VAULT_ADDR=http://127.0.0.1:8200' \
-e 'VAULT_TOKEN=myroot' \
vault sh -c 'apk add --update curl jq && \
vault login -method=token token=${VAULT_TOKEN} && \
PASSWORD=$(vault kv get -field=password secret/test) && \
echo ${PASSWORD}'
优点
- 支持细粒度权限控制
- 支持密钥自动轮换
缺点
- 部署和维护成本较高
- 增加了系统复杂度和运维开销
5. 使用 Docker Secrets（适用于 Swarm 模式）
Docker Secrets 是 Docker Swarm 模式下用于安全管理敏感信息的功能，支持将密码、证书等敏感数据安全地传递给容器。
5.1 创建 Docker Secret
首先初始化 Swarm：
$ docker swarm init
创建一个名为 mysql_external_secret 的密钥：
$ echo "testpassword" | docker secret create mysql_external_secret -
5.2 使用 docker-compose.yml 部署 MySQL 服务
version: '3.1'
services:
mysql:
image: mysql
secrets:
- mysql_external_secret
environment:
- MYSQL_ROOT_PASSWORD_FILE=/run/secrets/mysql_external_secret
secrets:
mysql_external_secret:
external: true
5.3 部署服务
$ docker stack deploy --compose-file=docker-compose.yml mysql_secret_test
该命令会部署一个名为 mysql_secret_test 的服务，并通过 Docker Secrets 安全地将密码传递给容器。
优点
- 密钥在运行时挂载，不在镜像中暴露
- 与 Docker 原生集成，使用简单
缺点
- 仅适用于 Docker Swarm 模式
- 不支持 Kubernetes 等其他编排平台
6. 最佳实践
保护 Docker 中的密码需要从多个层面入手，以下是几个关键建议：
6.1 加密敏感数据
在存储或传递前对密码等敏感数据进行加密，例如使用 AES、RSA 等算法，以增加安全性。
✅ 推荐使用行业标准加密算法
✅ 加密密钥应单独管理，避免硬编码
6.2 控制访问权限
限制只有必要人员才能访问敏感信息。可以通过 RBAC（基于角色的访问控制）实现权限管理。
✅ 定期审查权限配置
✅ 对离职或调岗人员及时收回权限
6.3 定期更新密码
定期更换密码是降低泄露风险的有效手段。
✅ 建议每 3～6 个月更新一次密码
✅ 使用强密码策略，避免弱口令
7. 总结
本文介绍了在 Docker 中保护密码的三种主要方法：
| 方法 | 适用场景 | 优点 | 缺点 |
|---|---|---|---|
| 环境变量 | 快速原型或测试环境 | 简单易用 | 安全性低，不适合生产 |
| Vault 等密钥管理工具 | 多服务、多环境、高安全要求 | 安全性高，功能强大 | 部署复杂，维护成本高 |
| Docker Secrets | 单一 Docker Swarm 集群 | 与 Docker 集成好 | 仅适用于 Swarm 模式 |
选择哪种方式取决于具体的应用场景和安全需求。对于生产环境，推荐使用 Vault 或 Docker Secrets 来更好地保护敏感信息。