sops Docker镜像

镜像概述和主要用途

本镜像基于Mozilla sops（[***]

核心功能和特性

• 支持敏感文件的加密（encrypt）与解密（decrypt）操作
• 集成AWS KMS等密钥管理服务（通过环境变量配置认证信息）
• 支持挂载本地目录至容器，实现宿主机文件的直接读写
• 通过环境变量（如AWS_PROFILE）灵活配置服务认证参数

使用场景和适用范围

适用于开发、运维场景中对敏感配置文件（如应用密钥、数据库凭证、API密钥等）的安全管理需求。尤其适合在容器化环境中快速使用sops工具对敏感文件进行加密保护或解密使用。

使用方法和配置说明

前提条件

• 已安装Docker环境
• 若使用AWS KMS，需准备AWS凭证（通常位于~/.aws目录）并配置对应的AWS_PROFILE

加密文件

对指定文件进行加密，生成加密后的文件。

bash
# 进入工作目录
cd ${WORKING_DIR}

# 执行加密命令
docker run -v $HOME/.aws:/root/.aws -v $PWD:/sops -w /sops -e AWS_PROFILE=XXXX chatwork/sops -e secrets.dec.yaml

参数说明：

• -v $HOME/.aws:/root/.aws：挂载本地AWS凭证目录至容器，用于KMS认证
• -v $PWD:/sops：挂载当前工作目录至容器内/sops目录，使容器可访问待加密文件
• -w /sops：设置容器工作目录为/sops
• -e AWS_PROFILE=XXXX：设置环境变量，指定AWS认证配置文件
• -e secrets.dec.yaml：sops加密命令，对secrets.dec.yaml文件加密，默认生成加密文件secrets.enc.yaml

解密文件

对加密后的文件进行解密，恢复为原始文件。

bash
# 进入工作目录
cd ${WORKING_DIR}

# 执行解密命令
docker run -v $HOME/.aws:/root/.aws -v $PWD:/sops -w /sops -e AWS_PROFILE=XXXX chatwork/sops -d secrets.enc.yaml

参数说明：

• 与加密命令参数类似，区别在于sops命令使用-d（解密）选项，对secrets.enc.yaml文件解密，默认生成原始文件secrets.dec.yaml