Jakými způsoby lze omezit přístup k Dockerfile?

Systém správy verzí (VCS):

• Uložte Dockerfile do soukromých Git repozitářů (například GitLab, GitHub, Bitbucket).
• Nakonfigurujte přístupová práva (ČTENÍ, ZÁPIS, ADMIN) k repozitáři pro konkrétní uživatele nebo skupiny.
• Používejte větve (branches) k řízení změn a jejich revizi (merge requests / pull requests).

Systém správy konfigurace:

• Používejte Ansible, Chef, Puppet nebo SaltStack k distribuci Dockerfile cílovým systémům s omezenými právy k souborům konfigurace.

Systémy CI/CD:

• Omezte přístup k pipeline, které sestavují obrazy z Dockerfile.
• Nakonfigurujte spouštěče pipeline tak, aby sestavení probíhalo pouze z důvěryhodných zdrojů (například určitá větev Git).

Práva k souborům v souborovém systému:

• Nakonfigurujte standardní práva operačního systému (chmod, chown v Linux/Unix) na soubor Dockerfile na serveru, kde je uložen nebo používán pro sestavení.

# Omezit přístup k souboru pouze vlastníkovi (čtení a zápis)
chmod 600 Dockerfile
# Změnit vlastníka souboru
chown user:group Dockerfile

Systémy správy tajemství:

• Pokud Dockerfile obsahuje citlivé informace (což se velmi nedoporučuje), použijte HashiCorp Vault, CyberArk nebo jiné systémy správy tajemství a integrujte je do procesu sestavení. Je vhodnější tajemství externě spravovat mimo Dockerfile a předávat je při sestavení nebo spuštění kontejneru.

Ovládání přístupu k Docker Registry:

• Omezte přístup k repozitářům, do kterých jsou pushovány sestavené obrazy založené na Dockerfile. To neomezuje přístup k samotnému Dockerfile, ale kontroluje, kdo může používat jeho výsledek.

// Příklad použití ARG pro předání proměnných při sestavení, aby se zabránilo zápisu tajemství do Dockerfile
ARG MY_SECRET_VAR
# Poté použijte MY_SECRET_VAR v příkazech RUN, ENV atd.