Držite proxy vjerodajnice iz vremena izgradnje izvan Docker slika
Svjesno koristite unaprijed definisane Docker proxy ulaze za izgradnju i ne pretvarajte privremene proxy tajne u trajne vrijednosti okruženja slike.
Za preuzimanje paketa tokom izgradnje koristite unaprijed definisane proxy ulaze Dockera umjesto čuvanja privremene rute u ENV Dockerfilea. POSIX poziv može dati:
HTTP_PROXY=http://203.0.113.10:8080 \
HTTPS_PROXY=http://203.0.113.10:8080 \
docker build --build-arg HTTP_PROXY --build-arg HTTPS_PROXY .Zamijenite dokumentacijsku krajnju tačku. Ako izostavite vrijednosti nakon naziva --build-arg, uzimaju se iz okruženja ovog poziva. Za ove unaprijed definisane ulaze nisu potrebne odgovarajuće deklaracije ARG.
Docker po podrazumijevanju isključuje ove proxy argumente iz rukovanja kešom izgradnje i iz docker history. Izričito navođenje u Dockerfileu mijenja to ponašanje, pa ne dodajite deklaracije samo zato što to radi drugi primjer argumenta izgradnje.
Proces i dalje prima vrijednosti. Autentifikovani URL može iscuriti kroz ispisano okruženje, dnevnike, kopiranu konfiguraciju ili kasnije operacije nad slikom, čak i ako ga jedan prikaz historije skriva. ENV u Dockerfileu čini rutu dijelom konačnog okruženja slike i može proxy samo za izgradnju pretvoriti u zavisnost svakog kontejnera.
Kada komanda treba osjetljiv materijal, BuildKit secret mount pruža interfejs tajne tokom izgradnje. Ograničite vjerodajnicu na tu operaciju; ne ispisujte mount i ne kopirajte njegov sadržaj u sloj slike.
Ovi ulazi izgradnje ne konfigurišu ni ranije preuzimanje registra koje je obavio daemon ni rutu hosta nedostupnog udaljenog buildera. Nakon toga pregledajte konačnu sliku i konfiguraciju aplikacije zbog trajnih proxy vrijednosti.