Docker 시크릿과 민감 정보 관리 — 환경변수에 비밀번호를 넣으면 안 되는 이유

docker run -d --name myapp -e DB_PASSWORD=supersecret myapp:latest

# 누구나 비밀번호를 볼 수 있음
docker inspect myapp --format '{{json .Config.Env}}' | jq
# [
#   "DB_PASSWORD=supersecret",
#   "PATH=/usr/local/sbin:..."
# ]

# 호스트에서 (root 권한)
cat /proc/$(docker inspect --format '{{.State.Pid}}' myapp)/environ | tr '\0' '\n'
# DB_PASSWORD=supersecret

# 컨테이너 내부에서 실행되는 모든 프로세스가 환경변수를 상속
docker exec myapp env | grep DB_PASSWORD
# DB_PASSWORD=supersecret

# 실수로 로그에 환경변수가 포함될 수 있음
import os
print(f"Starting with config: {os.environ}")
# Starting with config: {'DB_PASSWORD': 'supersecret', ...}

# Dockerfile에서 ENV로 설정하면 이미지에 영구 저장
ENV DB_PASSWORD=supersecret
# docker history로 누구나 확인 가능

# compose.yaml
services:
  db:
    image: postgres:16-alpine
    environment:
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_password

  api:
    image: myapi:latest
    secrets:
      - db_password
      - api_key

secrets:
  db_password:
    file: ./secrets/db_password.txt
  api_key:
    file: ./secrets/api_key.txt

# 시크릿 파일 생성 (git에 포함하지 않도록 .gitignore에 추가)
mkdir -p secrets
echo -n "mysupersecretpassword" > secrets/db_password.txt
echo -n "ak_1234567890abcdef" > secrets/api_key.txt

# 시크릿은 /run/secrets/에 파일로 마운트됨
docker compose exec api ls -la /run/secrets/
# -r--r--r--    1 root root   20 Mar 19 10:00 db_password
# -r--r--r--    1 root root   22 Mar 19 10:00 api_key

# 파일 내용 읽기
docker compose exec api cat /run/secrets/db_password
# mysupersecretpassword

services:
  db:
    image: postgres:16-alpine
    environment:
      # 비밀번호를 직접 넣는 대신 파일 경로 지정
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_password

  mysql:
    image: mysql:8.0
    environment:
      MYSQL_ROOT_PASSWORD_FILE: /run/secrets/mysql_root_password
    secrets:
      - mysql_root_password

// Node.js
const fs = require('fs');

function getSecret(name) {
    try {
        return fs.readFileSync(`/run/secrets/${name}`, 'utf8').trim();
    } catch (e) {
        // 시크릿 파일이 없으면 환경변수 fallback (개발 환경)
        return process.env[name.toUpperCase()];
    }
}

const dbPassword = getSecret('db_password');

# Python
from pathlib import Path
import os

def get_secret(name):
    secret_path = Path(f'/run/secrets/{name}')
    if secret_path.exists():
        return secret_path.read_text().strip()
    return os.environ.get(name.upper())

db_password = get_secret('db_password')

// Java
import java.nio.file.Files;
import java.nio.file.Path;

public String getSecret(String name) {
    Path secretPath = Path.of("/run/secrets/" + name);
    if (Files.exists(secretPath)) {
        return Files.readString(secretPath).trim();
    }
    return System.getenv(name.toUpperCase());
}

# 절대 하지 마세요! ARG/ENV로 전달하면 이미지 레이어에 남음
ARG NPM_TOKEN
RUN echo "//registry.npmjs.org/:_authToken=${NPM_TOKEN}" > .npmrc
RUN npm ci
RUN rm .npmrc  # 삭제해도 이전 레이어에 남아있음!

# syntax=docker/dockerfile:1
FROM node:20-alpine
WORKDIR /app

COPY package*.json ./

# 시크릿을 임시로 마운트 (이미지에 포함되지 않음)
RUN --mount=type=secret,id=npmrc,target=/root/.npmrc \
    npm ci

COPY . .
RUN npm run build

# 빌드 시 시크릿 전달
docker buildx build \
    --secret id=npmrc,src=$HOME/.npmrc \
    -t myapp:latest .

# syntax=docker/dockerfile:1
FROM node:20-alpine
WORKDIR /app

# SSH 에이전트를 통한 인증
RUN --mount=type=ssh \
    git clone git@github.com:myorg/private-repo.git

# SSH 에이전트 포워딩으로 빌드
docker buildx build --ssh default -t myapp:latest .

# 시크릿 생성
echo "mysecretpassword" | docker secret create db_password -

# 또는 파일에서
docker secret create db_password ./secrets/db_password.txt

# 시크릿 목록
docker secret ls

# 서비스에 시크릿 연결
docker service create \
    --name myapi \
    --secret db_password \
    myapi:latest

# compose.yaml — Vault 사이드카 패턴
services:
  vault-agent:
    image: hashicorp/vault
    command: agent -config=/vault/config/agent.hcl
    volumes:
      - ./vault-config:/vault/config:ro
      - shared-secrets:/vault/secrets

  api:
    image: myapi:latest
    volumes:
      - shared-secrets:/run/secrets:ro
    depends_on:
      - vault-agent

volumes:
  shared-secrets:

# vault-config/agent.hcl
vault {
  address = "https://vault.example.com:8200"
}

auto_auth {
  method "kubernetes" {
    mount_path = "auth/kubernetes"
    config = {
      role = "myapp"
    }
  }
}

template {
  source      = "/vault/config/db-password.tpl"
  destination = "/vault/secrets/db_password"
}

services:
  init-secrets:
    image: amazon/aws-cli
    command: >
      sh -c "aws secretsmanager get-secret-value
      --secret-id myapp/db-password
      --query SecretString --output text > /secrets/db_password"
    volumes:
      - secrets:/secrets
    profiles:
      - init

  api:
    image: myapi:latest
    volumes:
      - secrets:/run/secrets:ro

volumes:
  secrets:

# .gitignore
secrets/
*.secret
*.key
*.pem
.env.local
.env.production