Как сделать контейнер безопаснее?

Question

Accepted Answer

Не root внутри контейнера, минимальный образ (меньше пакетов — меньше уязвимостей), сканирование образов в CI (Trivy, Grype), файловая система только для чтения, сброс capabilities, запрет privileged и монтирования docker.sock, секреты не в образе и не в переменных, видимых всем, фиксированные версии и подпись образов. root в контейнере при уязвимости рантайма или неосторожном монтировании — root на хосте Kubernetes: securityContext — runAsNonRoot, readOnlyRootFilesystem, allowPrivilegeEscalation: false Сетевые политики ограничивают, кто с кем может общаться Pod Security Standards (restricted) включают эти правила на уровне кластера Почему важно. Контейнер изолирован общим ядром. Ошибка в рантайме, privileged-режим, монтирование /var/run/docker.sock или каталогов хоста дают выход на хост. Запуск от root делает последствия максимальными. Список мер: - USER в Dockerfile, runAsNonRoot в Kubernetes; - distroless или slim-образ, регулярное обновление базового образа; - readOnlyRootFilesystem: true, временные каталоги — emptyDir; - capabilities: drop: ["ALL"], добавлять только нужные; - запрет privileged и hostPath; - сканирование образов и зависимостей в CI, блокировка критичных уязвимостей; - подпись образов (cosign) и проверка при деплое; - сетевые политики по принципу «запрещено всё, что не разрешено».

Как сделать контейнер безопаснее?

Подробно

Что хотят услышать

Связанные вопросы

Подсказки на собеседовании — в реальном времени