O Que É um Build Secret Mount?

Um build secret mount é um recurso do BuildKit que torna um segredo disponível a um passo específico do build como um arquivo temporário ou valor de ambiente, sem gravá-lo em uma layer. O segredo é montado apenas enquanto aquele passo roda e nunca persiste na imagem ou no cache do build. É a maneira segura de usar um token durante um build.

Por que isso importa

Passar segredos via build arguments ou copiá-los para dentro vaza-os no histórico da imagem, onde qualquer um com a imagem pode extraí-los. Um secret mount mantém a credencial fora de todas as layers e entradas de cache, então a imagem publicada fica limpa. Isso importa mais para tokens de pacotes privados necessários apenas em tempo de build.

Guias relacionados