如何维护Dockerfile中使用的机密？

以下是具有密码的docker-compose文件的片段：

test:
  build: ../../
  dockerfile: docker/dev/Dockerfile
  volumes_from:
    - cache
  links:
    - db
  environment:
    DJANGO_SETTINGS_MODULE: todobackend.settings.test
    MYSQL_HOST: db
    MYSQL_USER: root
    MYSQL_PASSWORD: password
    TEST_OUTPUT_DIR: /reports

db:
  image: mysql:5.6
  hostname: db
  expose:
    - "3386"
  environment:
    MYSQL_ROOT_PASSWORD: password

在AWS环境中运行此文件，

可以在s3中使用KMS存储，另一种方法是AWS参数存储

在构建dockerfile并使用启动容器时docker-compose，如何安全地维护秘密，而又不将其暴露于文本文件中？任何代码段...