Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- docker:ueberwachung [2025/07/29 12:22] – [Passwörter in docker-compose files] franz
+++ docker:ueberwachung [2026/06/03 07:40] (aktuell) – [Passwörter in docker-compose files] franz
@@ Zeile 115: / Zeile 115: @@
 </code>
-**Wichtige Hinweise:**
+====   Rechte des ./secrets file (Beispiel)   ====
-   *
+<code>
+sudo chown root:33 /directory/secrets/smtp_password
+sudo chmod 0440 /directory/secrets/smtp_password
-Die Secret-Dateien müssen als Plaintext (ohne Anführungszeichen/Leerzeilen) z.B. in ''./secrets/nc_admin_pw.txt'' liegen.
+</code>
-  *
+**Wichtige Hinweise:**
-Die *_FILE-Umgebungsvariablen müssen (//statt// der normalen Variablen) genutzt werden, z.B. ''NEXTCLOUD_ADMIN_PASSWORD_FILE'' statt ''NEXTCLOUD_ADMIN_PASSWORD''.
+   * Die Secret-Dateien müssen als Plaintext (ohne Anführungszeichen/Leerzeilen) z.B. in ''./secrets/nc_admin_pw.txt''  liegen.
+  * Die *_FILE-Umgebungsvariablen müssen (//statt//  der normalen Variablen) genutzt werden, z.B. ''NEXTCLOUD_ADMIN_PASSWORD_FILE''  statt ''NEXTCLOUD_ADMIN_PASSWORD''.
+  * Diese Technik wird von Compose ab v3.1+ (nicht nur im Swarm) unterstützt, und ist für Nextcloud/Postgres-Images dokumentiert.
+  * Alle Secrets werden als Datei **nur**  im Container bereitgestellt und tauchen nicht in Umgebungsvariablen oder Logs auf.
-  *
+So bleiben sensible Informationen aus der Compose-Datei, dem ENV-File und sämtlichen Logfiles heraus und werden sicher als Datei injiziert.
-Diese Technik wird von Compose ab v3.1+ (nicht nur im Swarm) unterstützt, und ist für Nextcloud/Postgres-Images dokumentiert.
+====   Rechte von smtp.env   ====
-  *
+<code>
+chown root:root smtp.env
+chmod 600 smtp.env
-Alle Secrets werden als Datei **nur** im Container bereitgestellt und tauchen nicht in Umgebungsvariablen oder Logs auf.
+</code>
-So bleiben sensible Informationen aus der Compose-Datei, dem ENV-File und sämtlichen Logfiles heraus und werden sicher als Datei injiziert.
+Das reicht, weil **''smtp.env''  nicht vom Container gelesen wird**. Die Datei wird nur von ''docker compose''  auf dem Host gelesen und die Werte werden dann als Environment-Variablen in den Container übergeben.