关键词：
我们经常要向容器传递敏感信息，最常见的莫过于密码了。比如：
docker run -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql
在启动 MySQL 容器时我们通过环境变量 MYSQL_ROOT_PASSWORD 设置了 MySQL 的管理员密码。不过密码是以明文的形式写在 docker run 命令中，有潜在的安全隐患。
为了解决这个问题，docker swarm 提供了 secret 机制，允许将敏感信息加密后保存到 secret 中，用户可以指定哪些容器可以使用此 secret。
如果使用 secret 启动 MySQL 容器，方法是：
在 swarm manager 中创建 secret
my_secret_data，将密码保存其中。
echo "my-secret-pw" | docker secret create my_secret_data -
启动 MySQL service，并指定使用 secret
my_secret_data。
docker service create --name mysql --secret source=my_secret_data,target=mysql_root_password -e MYSQL_ROOT_PASSWORD_FILE="/run/secrets/mysql_root_password" mysql:latest
① source 指定容器使用 secret 后，secret 会被解密并存放到容器的文件系统中，默认位置为 /run/secrets/<secret_name>。--secret source=my_secret_data,target=mysql_root_password 的作用就是指定使用 secret my_secret_data，然后把器解密后的内容保存到容器 /run/secrets/mysql_root_password 文件中，文件名称 mysql_root_password 由 target 指定。
② 环境变量 MYSQL_ROOT_PASSWORD_FILE 指定从 /run/secrets/mysql_root_password 中读取并设置 MySQL 的管理员密码。
这里大家可能有这么两个疑问：
问：在第一步创建 secret 时，不也是使用了明文吗？这跟在环境变量中直接指定密码有什么不同呢？
答：在我们的例子中创建 secret 和使用 secret 是分开完成的，其好处是将密码和容器解耦合。secret 可以由专人（比如管理员）创建，而运行容器的用户只需使用 secret 而不需要知道 secret 的内容。也就是说，例子中的这两个步骤可以由不同的人在不同的时间完成。
问：secret 是以文件的形式 mount 到容器中，容器怎么知道去哪里读取 secret 呢？
答：这需要 image 的支持。如果 image 希望它部署出来的容器能够从 secret 中读取数据，那么此 image 就应该提供一种方式，让用户能够指定 secret 的位置。最常用的方法就是通过环境变量，Docker 的很多官方 image 都是采用这种方式。比如 MySQL 镜像同时提供了 MYSQL_ROOT_PASSWORD 和 MYSQL_ROOT_PASSWORD_FILE 两个环境变量。用户可以用 MYSQL_ROOT_PASSWORD 显示地设置管理员密码，也可以通过 MYSQL_ROOT_PASSWORD_FILE 指定 secret 路径。
下一节我们继续讨论 Secret。
书籍：
1.《每天5分钟玩转Docker容器技术》
https://item.jd.com/16936307278.html
2.《每天5分钟玩转OpenStack》
https://item.jd.com/12086376.html
环境变量方式使用secret-每天5分钟玩转docker容器技术（158）
通过Volume使用Secret，容器必须从文件读取数据，会稍显麻烦，Kubernetes还支持通过环境变量使用Secret。Pod配置文件示例如下：创建Pod并读取Secret。通过环境变量 SECRET_USERNAME 和 SECRET_PASSWORD 成功读取到Secret的数据。... 查看详情
secret的使用场景-每天5分钟玩转docker容器技术（109）
...。SSH秘钥。其他小于500KB的数据。secret只能在swarmservice中使用。普通容器想使用secret，可以将其包装成副本数为1的service。这里我们再举一个使用secret的典型场景。数据中心有三套swarm环境，分别用 查看详情
volume方式使用secret-每天5分钟玩转docker容器技术（157）
Pod可以通过Volume或者环境变量的方式使用Secret，今天先学习Volume方式。Pod的配置文件如下所示：①定义volume foo，来源为secret mysecret。②将 foo mount到容器路径 /etc/foo，可指定读写权限为 readOnly。创建Pod并在... 查看详情
通过案例学习secret-每天5分钟玩转docker容器技术（110）
...码保存到secret中。我们还会创建一个WordPressservice，它将使用secret连接MySQL。这个例子将展示如何用secret避免在image中存放敏感信息，或者在命令行中直接传递敏感数据。实验步骤如下：创建secret创建secret存放MyS 查看详情
用k8s管理机密信息-每天5分钟玩转docker容器技术（155）
...Secret会以Volume的形式被mount到Pod，容器可通过文件的方式使用Secret中的敏感数据；此外，容器也可以环境变量的方式使用这些数据。Secret可通 查看详情
用configmap管理配置-每天5分钟玩转docker容器技术（159）
...比如应用的配置信息，则可以用ConfigMap。ConfigMap的创建和使用方式与Secret非常类似，主要的不同是数据以明文的形式存放。与Secret一样，ConfigMap也支持四种创建方式：1.通过 --from-literal：kubectl create configmap& 查看详情
stack的优势-每天5分钟玩转docker容器技术（113）
...本？使用哪个image？映射的端口是什么？而脚本则是描述如何执行命令来达到这个状态，也就是 How。显而易见，What& 查看详情
如何使用stack？-每天5分钟玩转docker容器技术（112）
定义好了stackYAML文件，就可以通过 dockerstackdeploy 命令部署应用。Docker会按照YAML的内容来创建各种资源。为了不重名，所有资源都会加上stack名称作为前缀，我们这里是 wpstack_*。部署完成后可以通过相关命令查看各种... 查看详情
每天5分钟玩转kubernetes|查看secret
...家分享，侵权即删，谢谢支持！通过kubectlgetsecret查看存在的secret，如图所示。显示有两个数据条目，通过kubectldescribesecret查看条目的Keyÿ 查看详情
什么是stack？-每天5分钟玩转docker容器技术（111）
...前我们先回忆一下前面部署WordPress应用的过程：首先创建secret。然后创建MySQLservice，这是WordPress依赖的服务。最后创建WordPressservice。也就是说，这个应用包含了两个service：MySQL和WordPress，它们之间有明确的依赖关系，必须先启... 查看详情
chart目录结构-每天5分钟玩转docker容器技术（164）
...所需要的资源，比如Service、Deployment、PersistentVolumeClaim、Secret、ConfigMap等。单个的chart可以非常简单，只用于部署一个服务，比如Memcached；chart也可以很复杂，部署整个应用，比如包含HTTPServers、Databa 查看详情
每天5分钟玩转容器技术整理目录
... Docker架构详解-每天5分钟玩转容器技术（7）Docker组件如何协作？- 查看详情
每天5分钟玩转kubernetes|创建secret(代码片段)
...分享，侵权即删，谢谢支持！有四种方法创建Secret：（1）通过--from-literal：kubectlcreatesecretgenericmysecre 查看详情
如何使用weave网络？-每天5分钟玩转docker容器技术（63）
weave是Weaveworks开发的容器网络解决方案。weave创建的虚拟网络可以将部署在多个主机上的容器连接起来。对容器来说，weave就像一个巨大的以太网交换机，所有容器都被接入这个交换机，容器可以直接通信，无需NAT和端口映射。... 查看详情
如何使用weave网络？-每天5分钟玩转docker容器技术（63）
weave是Weaveworks开发的容器网络解决方案。weave创建的虚拟网络可以将部署在多个主机上的容器连接起来。对容器来说，weave就像一个巨大的以太网交换机，所有容器都被接入这个交换机，容器可以直接通信，无需NAT和端口映射。... 查看详情
如何使用flannelhost-gwbackend？-每天5分钟玩转docker容器技术（62）
flannel支持多种backend，前面我们讨论的是vxlan，host-gw是flannel的另一个backend，本节会将前面的vxlanbackend切换成host-gw。与vxlan不同，host-gw不会封装数据包，而是在主机的路由表中创建到其他主机subnet的路由条目，从而实现容器跨主... 查看详情
如何使用flannelhost-gwbackend？-每天5分钟玩转docker容器技术（62）
flannel支持多种backend，前面我们讨论的是vxlan，host-gw是flannel的另一个backend，本节会将前面的vxlanbackend切换成host-gw。与vxlan不同，host-gw不会封装数据包，而是在主机的路由表中创建到其他主机subnet的路由条目，从而实现容器跨主... 查看详情
如何滚动更新service？-每天5分钟玩转docker容器技术（102）
...前面的实验中，我们部署了多个副本的服务，本节将讨论如何滚动更新每一个副本。滚动更新降低了应用更新的风险，如果某个副本更新失败，整个更新将暂停，其他副本则可以继续提供服务。同时，在更新的过程中，总是有副... 查看详情