📁 Безопасность контейнеров

Короткий ответ Единого обязательного набора нет: минимальная база — это pull образов только из доверенных реестров по digest и генерация SBOM в CI; подписание образов (например, cosign/Notation) и admission-политики, блокирующие неподписанные/непроверенные образы, добавляются по мере роста требований безопасности и compliance организации. Как это работает подробнее SBOM (Software Bill of Materials) — машиночитаемый список всех пакетов и версий внутри образа, который можно сверять с базами уязвимостей даже после публикации образа, не пересканируя его заново каждый раз вручную. Подписание образов криптографически связывает конкретный digest с издателем — admission-контроллер в оркестраторе может проверять подпись перед запуском контейнера и отклонять образы без валидной подписи от доверенного издателя. Пример кода Что использовать на практике Практика. внедрение обычно идёт поэтапно: сначала фиксация по digest и базовое сканирование на CVE в CI, затем генерация и хранение SBOM для каждой сборки, и только на зре

Читать полностьюcontainer-security

Короткий ответ Сканеры образов (Trivy, Grype, Docker Scout и аналоги) анализируют установленные пакеты во всех слоях образа и сверяют их версии с базами известных уязвимостей (CVE), позволяя обнаружить и заблокировать публикацию образов с критическими проблемами ещё в CI, до попадания в production. Как это работает подробнее сканер разбирает слои образа, строит список установленных пакетов ОС и, часто, зависимостей уровня языка (npm, pip, go modules), затем сопоставляет версии с публичными базами данных уязвимостей (NVD и производные источники) и выдаёт отчёт с уровнями критичности (CRITICAL, HIGH, MEDIUM, LOW). Пример кода Что использовать на практике Практика. сканирование включают прямо в CI-пайплайн сборки образа, с правилом "сборка не проходит" (exit code != 0), если найдены уязвимости выше заданного уровня критичности; важно также периодически пересканировать уже опубликованные образы, так как новые CVE для тех же версий пакетов обнаруживаются постоянно, даже без изменения самого образа. Подводные камни

Читать полностьюcontainer-registry

Короткий ответ Переменные окружения контейнера видны через docker inspect, попадают в логи ошибок и иногда в системы мониторинга процессов, а Docker secrets монтируются как файлы в tmpfs только тем сервисам, которым явно разрешён доступ, не отображаясь в обычном docker inspect сервиса. Как это работает подробнее любая переменная, заданная через -e/environment, хранится в метаданных контейнера в открытом виде и доступна любому, кто может выполнить docker inspect по этому контейнеру, а также наследуется всеми дочерними процессами внутри контейнера. Docker secrets (в режиме Swarm) передаются зашифрованными через Raft log менеджерам кластера и монтируются только в tmpfs конкретных сервисов, которым явно назначен секрет — после остановки сервиса файл секрета исчезает вместе с tmpfs. Пример кода Что использовать на практике Практика. для production-данных (пароли БД, API-ключи) предпочтительнее механизмы, монтирующие секрет как файл, доступный только внутри контейнера и не отображаемый в общих метаданных — это могу

Читать полностьюcontainer-security