Dockerfile-ə giriş necə məhdudlaşdırıla bilər?

Sistem kontrolu versiyaları (VCS):

• Dockerfile-i özəl Git depolarında yerləşdirin (məsələn, GitLab, GitHub, Bitbucket).
• Depo üçün giriş hüquqlarını (OXUMA, YAZMA, İdarəetmə) müəyyən istifadəçilər və ya qruplar üçün konfiqurasiya edin.
• Dəyişiklikləri idarə etmək və nəzərdən keçirmək üçün filiallardan (branches) istifadə edin (birleştirme sorğuları / çəkiliş sorğuları).

Konfiqurasiya idarəetmə sistemi:

• Ansible, Chef, Puppet və ya SaltStack istifadə edərək Dockerfile-i hədəf sistemlərə, məhdud giriş hüquqları ilə yaymaq.

CI/CD sistemləri:

• Dockerfile-dan imiclər yaradan pipeline-lərə giriş hüquqlarını məhdudlaşdırın.
• Güvənilir mənbələrdən (məsələn, müəyyən bir Git filialı) yalnız build-in baş tutması üçün trigger-ləri konfiqurasiya edin.

Fayl sistemində giriş hüquqları:

• Əməliyyat sisteminin standart giriş hüquqlarını (chmod, chown Linux/Unix-də) Dockerfile üçün konfiqurasiya edin, saxlanıldığı və ya build üçün istifadə olunduğu serverdə.

# Fayla yalnız sahibi üçün oxuma və yazma hüququ verin
chmod 600 Dockerfile
# Faylın sahibi dəyişdirin
chown user:group Dockerfile

Gizli məlumatların idarə olunması sistemləri:

• Əgər Dockerfile həssas məlumatlar ehtiva edirsə (bu çox tövsiyə edilmir), HashiCorp Vault, CyberArk və ya digər gizli məlumatların idarə olunması sistemlərindən istifadə edin və onları build prosesinə inteqrasiya edin. Gizli məlumatları Dockerfile-dan xaricə çıxarmaq və build və ya konteynerin işə salınması zamanı ötürmək daha düzgün olar.

Docker Registry giriş idarəetməsi:

• Dockerfile əsasında yaradılan imiclərin push olunduğu depolara giriş hüquqlarını məhdudlaşdırın. Bu, Dockerfile-ə giriş hüququnu məhdudlaşdırmır, lakin onun nəticəsindən istifadə edənləri idarə edir.

// Gizli məlumatların qeyd olunmaması üçün build zamanı dəyişənləri ötürmək üçün ARG nümunəsi
ARG MY_SECRET_VAR
# Daha sonra MY_SECRET_VAR-ı RUN, ENV və s. əmrlərdə istifadə edin