Hoidke ehitusaegsed puhverserveri mandaadid Dockeri tõmmistest eemal
Kasutage Dockeri eelmääratud ehituse puhverserveri sisendeid teadlikult ja ärge muutke ajutisi saladusi tõmmise püsivateks keskkonnaväärtusteks.
Pakettide allalaadimiseks ehituse ajal kasutage Dockeri eelmääratud puhverserveri sisendeid, mitte ärge salvestage ajutist marsruuti Dockerfile’i ENV. POSIX-kutse võib anda:
HTTP_PROXY=http://203.0.113.10:8080 \
HTTPS_PROXY=http://203.0.113.10:8080 \
docker build --build-arg HTTP_PROXY --build-arg HTTPS_PROXY .Asendage dokumentatsiooni lõpp-punkt. Kui pärast nimede --build-arg väärtusi ei anta, võetakse need selle kutse keskkonnast. Vastavaid ARG deklaratsioone pole vaja.
Docker jätab need puhverserveri argumendid vaikimisi ehituse vahemälu töötlemisest ja docker history-st välja. Nende otsene viitamine Dockerfile’is muudab käitumist; ärge lisage deklaratsioone ainult seetõttu, et teine ehitusargumendi näide seda teeb.
Protsess saab väärtused siiski kätte. Autenditud URL võib lekkida prinditud keskkonna, logide, kopeeritud seadistuse või hilisemate tõmmisetoimingute kaudu. Dockerfile’i ENV muudab marsruudi lõpliku tõmmise keskkonna osaks ja võib teha ainult ehituseks vajaliku puhverserveri iga konteineri sõltuvuseks.
Kui käsk vajab tundlikku materjali, annab BuildKiti secret mount ehitusaegse salaliidese. Piirake mandaat selle toiminguga; ärge mount’i printige ega selle sisu tõmmisekihile kopeerige.
Need ehitussisendid ei seadista ei deemoni varasemat registrist tõmbamist ega kättesaamatu kaug-builderi hostimarsruuti. Kontrollige hiljem lõplikku tõmmist ja rakenduse seadistust püsivate puhverserveri väärtuste suhtes.