Pidä rakennusaikaiset välityspalvelintunnukset Docker-kuvien ulkopuolella
Käytä Dockerin ennalta määritettyjä rakennuksen välityspalvelinsyötteitä harkiten äläkä tee tilapäisistä salaisuuksista kuvan pysyviä ympäristöarvoja.
Käytä pakettien lataamiseen rakennuksen aikana Dockerin ennalta määritettyjä välityspalvelinsyötteitä sen sijaan, että tallentaisit tilapäisen reitin Dockerfilen ENV-asetukseen. POSIX-kutsu voi antaa:
HTTP_PROXY=http://203.0.113.10:8080 \
HTTPS_PROXY=http://203.0.113.10:8080 \
docker build --build-arg HTTP_PROXY --build-arg HTTPS_PROXY .Korvaa dokumentaation päätepiste. Kun --build-arg-nimien jälkeiset arvot jätetään pois, ne otetaan tämän kutsun ympäristöstä. Näille ennalta määritetyille syötteille ei tarvita vastaavia ARG-määrittelyjä.
Docker jättää nämä välityspalvelinargumentit oletusarvoisesti rakennusvälimuistin käsittelyn ja docker history-historian ulkopuolelle. Niiden nimenomainen viittaaminen Dockerfilessä muuttaa käytöstä, joten älä lisää määrittelyjä vain siksi, että toinen rakennusargumenttiesimerkki tekee niin.
Prosessi saa arvot silti. Todennettu URL voi vuotaa tulostetun ympäristön, lokien, kopioidun määrityksen tai myöhempien kuvaoperaatioiden kautta, vaikka yksi historiatarkastelu piilottaisi sen. Dockerfilen ENV tekee reitistä lopullisen kuva-ympäristön osan ja voi tehdä vain rakennukseen tarkoitetusta välityspalvelimesta jokaisen säilön riippuvuuden.
Kun komento tarvitsee arkaluonteista materiaalia, BuildKit-secret mount tarjoaa rakennusaikaisen salaisuuden rajapinnan. Rajoita tunniste tähän toimintaan; älä tulosta mountia tai kopioi sen sisältöä kuvakerrokseen.
Nämä rakennussyötteet eivät määritä daemonin aiempaa rekisterihakua eivätkä saavuttamattoman etärakentajan isäntäpolkua. Tarkista lopuksi suunniteltu kuva ja sovelluksen määritys pysyvien välityspalvelinarvojen varalta.