35、Docker Swarm 中分布式应用的部署、运行与 Kubernetes 简介

Docker Swarm 中分布式应用的部署、运行与 Kubernetes 简介

1. Docker Swarm 中使用 Docker 机密保护敏感数据

1.1 机密概述

机密用于安全地处理机密数据。Swarm 机密在静止和传输时都是安全的。新机密只能在管理节点上创建，创建后其值会被加密并存储在 raft 共识存储中，这保证了其静止时的安全性。当服务被分配机密时，管理节点从存储中读取、解密并将其转发到请求该机密的服务实例所在的容器。由于 Docker Swarm 中节点间通信使用相互传输层安全（mTLS），机密值即使被解密，在传输过程中也是安全的。管理节点仅将机密转发到运行服务实例的工作节点，机密以文件形式挂载到目标容器中，默认挂载路径为 /run/secrets ，也可自定义。需要注意的是，Windows 节点上的机密不会被加密，管理员应加密相应 Windows 节点的磁盘以达到与 Linux 节点相同的安全级别。

1.2 创建机密

创建机密有两种方式：
- 从标准输入创建 ：

$ echo "sample secret value" | docker secret create sample-secret -

此命令创建了一个名为 sample-secret 的机密，值为 sample secret value 。命令末尾的连字符表示 Docker 从标准输入获取机密值。
-