在 Azure 容器实例中装载机密卷
可以使用机密卷向容器组中的容器提供敏感信息。 机密卷将机密存储在该卷内的文件中,然后容器组中的容器可以访问这些机密。 将机密存储在机密卷中,可以避免将敏感数据(例如,SSH 密钥或数据库凭据)添加到应用程序代码中。
- 与机密一起部署到容器组中后,机密卷将为只读。
- 所有机密卷均由 RAM 支持的文件系统 tmpfs 提供支持;其内容永远不会写入非易失性存储。
注意
机密卷目前仅限于 Linux 容器。 在设置环境变量中了解如何为 Linux 容器传递安全环境变量。
装载机密卷 - Azure CLI
若要使用 Azure CLI 部署包含一个或多个机密的容器,请在 az container create 命令中包含 --secrets
和 --secrets-mount-path
参数。 此示例在 /mnt/secrets
处装载一个机密卷,该卷由两个包含机密“mysecret1”和“mysecret2”的文件组成:
az container create \
--resource-group myResourceGroup \
--name secret-volume-demo \
--image mcr.microsoft.com/azuredocs/aci-helloworld \
--secrets mysecret1="My first secret FOO" mysecret2="My second secret BAR" \
--secrets-mount-path /mnt/secrets
以下 az container exec 输出演示在运行的容器中打开 shell,列出机密卷中的文件,然后显示其内容:
az container exec \
--resource-group myResourceGroup \
--name secret-volume-demo --exec-command "/bin/sh"
/usr/src/app # ls /mnt/secrets
mysecret1
mysecret2
/usr/src/app # cat /mnt/secrets/mysecret1
My first secret FOO
/usr/src/app # cat /mnt/secrets/mysecret2
My second secret BAR
/usr/src/app # exit
Bye.
装载机密卷 - YAML
还可以使用 Azure CLI 和 YAML 模板部署容器组。 在部署由多个容器组成的容器组时,通过 YAML 模板进行部署是首选方法。
使用 YAML 模板进行部署时,模板中的机密值必须已进行 Base64 编码。 但是,机密值会以明文形式显示在容器的文件中。
以下 YAML 模板定义了一个容器组,其中包含一个容器,该容器在 /mnt/secrets
处装载了一个机密卷。 机密卷有两个包含机密“mysecret1”和“mysecret2”的文件。
apiVersion: '2019-12-01'
location: chinaeast2
name: secret-volume-demo
properties:
containers:
- name: aci-tutorial-app
properties:
environmentVariables: []
image: mcr.microsoft.com/azuredocs/aci-helloworld:latest
ports: []
resources:
requests:
cpu: 1.0
memoryInGB: 1.5
volumeMounts:
- mountPath: /mnt/secrets
name: secretvolume1
osType: Linux
restartPolicy: Always
volumes:
- name: secretvolume1
secret:
mysecret1: TXkgZmlyc3Qgc2VjcmV0IEZPTwo=
mysecret2: TXkgc2Vjb25kIHNlY3JldCBCQVIK
tags: {}
type: Microsoft.ContainerInstance/containerGroups
若要使用 YAML 模板进行部署,请将前面的 YAML 保存到名为 deploy-aci.yaml
的文件中,然后使用 --file
参数执行 az container create 命令:
# Deploy with YAML template
az container create \
--resource-group myResourceGroup \
--file deploy-aci.yaml
装载机密卷 - 资源管理器
除了 CLI 和 YAML 部署外,还可以使用 Azure 资源管理器模板部署容器组。
首先,在模板的容器组 properties
节中填充 volumes
数组。 使用资源管理器模板进行部署时,模板中的机密值必须已进行 Base64 编码。 但是,机密值会以明文形式显示在容器的文件中。
接下来,针对容器组中希望装载机密卷的每个容器,在容器定义的 properties
节中填充 volumeMounts
数组。
以下资源管理器模板定义了一个容器组,其中包含一个容器,该容器在 /mnt/secrets
处装载了一个机密卷。 机密卷有两个机密:“mysecret1”和“mysecret2”。
{
"$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"variables": {
"container1name": "aci-tutorial-app",
"container1image": "microsoft/aci-helloworld:latest"
},
"resources": [
{
"type": "Microsoft.ContainerInstance/containerGroups",
"apiVersion": "2021-03-01",
"name": "secret-volume-demo",
"location": "[resourceGroup().location]",
"properties": {
"containers": [
{
"name": "[variables('container1name')]",
"properties": {
"image": "[variables('container1image')]",
"resources": {
"requests": {
"cpu": 1,
"memoryInGb": 1.5
}
},
"ports": [
{
"port": 80
}
],
"volumeMounts": [
{
"name": "secretvolume1",
"mountPath": "/mnt/secrets"
}
]
}
}
],
"osType": "Linux",
"ipAddress": {
"type": "Public",
"ports": [
{
"protocol": "tcp",
"port": "80"
}
]
},
"volumes": [
{
"name": "secretvolume1",
"secret": {
"mysecret1": "TXkgZmlyc3Qgc2VjcmV0IEZPTwo=",
"mysecret2": "TXkgc2Vjb25kIHNlY3JldCBCQVIK"
}
}
]
}
}
]
}
若要使用资源管理器模板进行部署,请将前面的 JSON 保存到名为 deploy-aci.json
的文件中,然后使用 --template-file
参数执行 az deployment group create 命令:
# Deploy with Resource Manager template
az deployment group create \
--resource-group myResourceGroup \
--template-file deploy-aci.json
后续步骤
卷
了解如何在 Azure 容器实例中装载其他卷类型:
安全环境变量
向容器(包括 Windows 容器)提供敏感信息的另一种方法是通过使用安全环境变量。