Làm thế nào để sử dụng biến môi trường (Environment Variables) một cách bảo mật và hiệu quả thông qua cơ chế Build-args trong quá trình build Docker Image?

Question

Accepted Answer

Bản chất cơ chế hoạt động
Khi xây dựng Docker Image, các ứng dụng thường cần các cấu hình khác nhau cho từng môi trường (Development, Staging, Production). Cơ chế ARG kết hợp với lệnh --build-arg cho phép truyền các giá trị biến môi trường vào quá trình build Dockerfile.

ARG: Khai báo biến chỉ có hiệu lực trong quá trình build image (tại thời điểm chạy lệnh docker build). Sau khi image đã hoàn thành, các giá trị ARG này sẽ không còn tồn tại trong môi trường chạy của container (trừ khi được gán tiếp vào lệnh ENV).
ENV: Khai báo biến môi trường tồn tại vĩnh viễn trong image và sẽ hiển thị cho ứng dụng khi container khởi chạy (runtime).

Ví dụ minh họa
Sử dụng ARG để định nghĩa phiên bản hoặc cấu hình lúc build:
FROM node:18-alpine

# Khai báo biến nhận giá trị từ bên ngoài khi build
ARG NODE_ENV=production
ENV NODE_ENV=${NODE_ENV}

WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .

CMD ["npm", "start"]
Lệnh build thực tế trên terminal:
docker build --build-arg NODE_ENV=production -t my-app:latest .
Lưu ý kinh nghiệm thực chiến

Không bao giờ truyền các thông tin nhạy cảm (như mật khẩu database, API Secret Key, Token) thông qua ARG hoặc ENV trong Dockerfile. Lý do là các layer của Docker image được lưu trữ và có thể bị trích xuất, khiến thông tin mật bị lộ.
Đối với dữ liệu nhạy cảm cấp độ Enterprise, hãy sử dụng cơ chế Docker secrets hoặc truyền biến môi trường thông qua file .env khi chạy lệnh docker run hoặc cấu hình trong Docker Compose.

Làm thế nào để sử dụng biến môi trường (Environment Variables) một cách bảo mật và hiệu quả thông qua cơ chế Build-args trong quá trình build Docker Image?

Bản chất cơ chế hoạt động

Khóa học DevOps & Docker Thực Chiến

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi docker liên quan cùng chủ đề