:strip_icc():strip_exif()/u/122141/ic.tweakimg.net2.jpg?f=community)
Ik ben de laatste tijd wat aan het hobbyen met een self hosted setup thuis, deze bestaat momenteel uit Proxmox met daarin een paar LXC containers en Docker containers die zijn opgezet met compose.
Nu willen veel compose files uiteraard passwords hebben voor databases en webui logins, prima natuurlijk maar die wil ik niet plaintext ergens hebben staan. Een oplossing word geboden in de vorm van docker secrets maar dat vind ik niet heel fijn. Niet erg beheerbaar, vereist een swarm en staat als nog op het systeem.
Nu leek het mij nogal voor de hand liggend dat je een secrets provider zou moeten kunnen gebruiken. Immers werken Azure en dergelijke zo ook, HasiCorp Vault leek mij een mooie oplossing.
Echter is de realiteit anders en is het belachelijk complex blijkbaar. Ik heb geen goede oplossing kunnen vinden, tenminste niet voor docker files die je niet in beheer hebt.
Wat het dichtste bij een oplossing ligt is een extra container die de agent draait en dan via een volume de secrets aan de andere containers geeft. Echter dit komt er praktisch op neer dat je als nog passwords plaintext op de machine aan het zetten bent, iets wat ik juist niet wil.
Is er iemand die met dit zelfde probleem heeft geworsteld en een oplossing heeft?
Het lijkt mij dat het een logische stap zou zijn dat een secret vanuit een provider zou worden opgehaald op het moment dat het nodig is, zonder dit plaintext op te slaan?
Nu willen veel compose files uiteraard passwords hebben voor databases en webui logins, prima natuurlijk maar die wil ik niet plaintext ergens hebben staan. Een oplossing word geboden in de vorm van docker secrets maar dat vind ik niet heel fijn. Niet erg beheerbaar, vereist een swarm en staat als nog op het systeem.
Nu leek het mij nogal voor de hand liggend dat je een secrets provider zou moeten kunnen gebruiken. Immers werken Azure en dergelijke zo ook, HasiCorp Vault leek mij een mooie oplossing.
Echter is de realiteit anders en is het belachelijk complex blijkbaar. Ik heb geen goede oplossing kunnen vinden, tenminste niet voor docker files die je niet in beheer hebt.
Wat het dichtste bij een oplossing ligt is een extra container die de agent draait en dan via een volume de secrets aan de andere containers geeft. Echter dit komt er praktisch op neer dat je als nog passwords plaintext op de machine aan het zetten bent, iets wat ik juist niet wil.
Is er iemand die met dit zelfde probleem heeft geworsteld en een oplossing heeft?
Het lijkt mij dat het een logische stap zou zijn dat een secret vanuit een provider zou worden opgehaald op het moment dat het nodig is, zonder dit plaintext op te slaan?
/u/2820/crop60efd54698630_cropped.png?f=community)