Какие существуют практики безопасного хранения секретов при сборке и запуске контейнеров (Docker Secrets, BuildKit --secret, Vault)?

Секреты нельзя хардкодить в Dockerfile, класть в образ или хранить в Git. Используют: BuildKit Secrets (--secret при сборке), Docker Secrets (Swarm), Vault / Secret Manager (в рантайме), Kubernetes Secrets.

Ещё вопросы по теме «Docker»

• Чем подход docker run + скрипт + docker commit плох по сравнению с Dockerfile?
• Какой доступ контейнер имеет к ядру хоста и чем опасен режим --privileged?
• Что такое Kata Containers и чем они отличаются от обычных контейнеров с точки зрения безопасности?
• Что делать, если Docker Daemon не запущен или не хватает прав на файл сокета?
• Как зайти внутрь запущенного контейнера для отладки, если в нем нет оболочки (shell)?
• Что делает команда docker inspect и какую полезную информацию из нее можно извлечь?