hasura/graphql-engine

Add support for Docker Secrets by reading secrets files

Open

#3.989 aberto em 2 de mar. de 2020

Ver no GitHub
 (19 comments) (27 reactions) (1 assignee)TypeScript (2.787 forks)batch import
a/securityc/serverhelp wantedk/enhancement

Métricas do repositório

Stars
 (31.371 stars)
Métricas de merge de PR
 (Nenhuma PRs mesclada em 30d)

Description

Currently, the only way to pass secrets (DB credentials, Hasura admin secret) to Hasura is only by environment variables. For users of Docker Compose or Docker Swarm, this means these secrets have to be stored in plaintext, which presents security risks.

It would be great to build support for Docker Secrets (or even Vault), by adding the following environment variables, as recommended by Docker:

  • HASURA_GRAPHQL_ACCESS_KEY_FILE
  • HASURA_GRAPHQL_DATABASE_URL_FILE

If these variables are present, the access key and DB URL should be read from the corresponding files.

Docs: https://docs.docker.com/engine/swarm/secrets/#build-support-for-docker-secrets-into-your-images

Guia do colaborador

Direção de pesquisa
Investigue o mecanismo atual de carregamento de variáveis de ambiente na base de código do Hasura GraphQL Engine, provavelmente nos scripts de inicialização do servidor ou no módulo de configuração. Procure o tratamento existente de HASURA GRAPHQL ACCESS KEY e HASURA GRAPHQL DATABASE URL. Implemente a lógica para verificar as variantes FILE e ler o conteúdo dos caminhos de arquivo especificados. Revise a documentação do Docker para melhores práticas. Considere casos extremos como arquivos ausentes, permissões e caminhos relativos. A issue tem 19 comentários que podem conter orientações adicionais.
Pilha de tecnologia
docker
Domain
backend
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
DockerGit
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75