環境変数渡しの何が問題か

docker inspectや/procから読める上、子プロセスへ無差別に継承される。ファイルマウント方式の方が露出面が狭い。

.envを暗号化して置く方法はあるか

sopsやgit-cryptでリポジトリ内暗号化ができる。復号鍵の管理場所を別系統にするのが前提。

compose.ymlに機密を直書きするとリポジトリ漏洩に直結する。envファイル分離、Docker secrets、外部シークレットストアの3段階の管理方法を比較する。

本ページは https://gridleaf.net/docker-compose-env-secrets/ に関する構造化データを提供します。