Безопасность и управление секретами в Docker‑среде: Vault, Docker secrets и best‑practice для защиты конфиденциальных данных в PHP‑ и Python‑приложениях

Внутри контейнера секрет доступен как файл /run/secrets/db_password с правами 0400. Пример чтения в PHP:

$secretPath = '/run/secrets/db_password';
if (file_exists($secretPath)) {
    $dbPassword = trim(file_get_contents($secretPath));
    // Далее используем $dbPassword для PDO
    $pdo = new PDO('mysql:host=db;dbname=mydb', 'user', $dbPassword);
}

HashiCorp Vault: возможности и интеграция

Vault – автономное хранилище с поддержкой динамических секретов, политики доступа, аудита и автоматической ротации. Оно работает независимо от оркестратора, поэтому подходит как для Swarm, так и для Kubernetes.

# Запуск Vault в Docker (dev‑режим только для тестов)
docker run -d --name=vault \
  -e 'VAULT_DEV_ROOT_TOKEN_ID=root-token' \
  -p 8200:8200 \
  vault:latest server -dev

# Инициализация клиента (Python)
import hvac, os
client = hvac.Client(url='http://localhost:8200', token=os.getenv('VAULT_TOKEN'))
secret = client.secrets.kv.v2.read_secret_version(path='db/password')
print(secret['data']['data']['value'])

Для PHP существует библиотека php-vault (Composer hashicorp/vault-php), позволяющая получать секреты так же, как в примере выше.

Сравнительный анализ Docker secrets vs Vault

Best‑practice для PHP‑приложений

• Не храните секреты в .env файлах, попадающих в образ.
• Для Swarm используйте /run/secrets/ и читайте их один раз при старте.
• При работе с Vault – используйте client_token с ограниченными правами (policy app-read).
• Кешируйте полученный секрет в памяти, но не сохраняйте в файлы.
• Внедрите библиотеку phpdotenv только для non‑secret конфигураций.
• Регулярно проверяйте права доступа к файлам /run/secrets (должны быть 0400).

• Для Docker secrets используйте os.getenv только если секрет был экспортирован в переменную (не рекомендуется).
• Чтение из /run/secrets/ – самый безопасный путь:

import pathlib
secret_path = pathlib.Path('/run/secrets/api_key')
api_key = secret_path.read_text().strip()

• Для Vault – используйте клиент hvac с токеном из Docker secret или из файлового монтирования.
• Настройте автоматическую ротацию: запрос client.secrets.kv.v2.read_secret_version(..., lease_id) и обработайте hvac.exceptions.InvalidRequest при истечении.
• Не логируйте полученные секреты; используйте уровни логирования logging.INFO без вывода чувствительных данных.

CI/CD и управление секретами

В пайплайнах (GitLab CI, GitHub Actions, Jenkins) следует:

• Хранить токены доступа к Vault в protected variables CI‑системы.
• Для Docker‑build использовать --secret id=ssh_key,src=./ssh_key (BuildKit) – секрет будет доступен только на этапе сборки.

# Пример Dockerfile с BuildKit secret
# syntax=docker/dockerfile:1.2
FROM python:3.11-slim
RUN --mount=type=secret,id=ssh_key \
    mkdir -p /root/.ssh && \
    cp /run/secrets/ssh_key /root/.ssh/id_rsa && \
    chmod 600 /root/.ssh/id_rsa

Инструменты мониторинга и ротации

• Vault audit devices – отправляют события в syslog, Splunk или Elasticsearch.
• Docker events – отслеживают создание/удаление секретов.
• Автоматическая ротация: скрипты, вызываемые по cron, которые генерируют новые пароли в базе и обновляют Vault (политика lease).

Выводы

Для небольших Swarm‑кластеров Docker secrets предоставляют простое и безопасное решение, но ограничены в функциональности. HashiCorp Vault – более мощный инструмент, который покрывает динамические креденшиалы, тонкую политику доступа и аудит. При разработке PHP‑ и Python‑приложений следует использовать файловый доступ к секретам (/run/secrets) и клиентские библиотеки Vault, избегая прямого прописывания конфиденциальных данных в коде или переменных окружения.

RybinskLab предлагает комплексные услуги по проектированию, внедрению и поддержке безопасных Docker‑инфраструктур, включая настройку Vault, автоматизацию CI/CD и аудит конфиденциальных данных в PHP и Python проектах.