Ինչպես կարելի է սահմանափակել մուտքը Dockerfile- ին?

Վերահսկման համակարգ (VCS):

• տեղադրել Dockerfile-ը մասնավոր Git պահոցներում (օրինակ, GitLab, GitHub, Bitbucket):
• սահմանել մուտքի իրավունքներ (READ, WRITE, ADMIN) պահոցին՝ որոշ օգտվողների կամ խմբերի համար:
• օգտագործել ճյուղեր (branches) փոփոխությունների վերահսկման և դրանց վերանայման համար (merge requests / pull requests):

Կոնֆիգուրացիայի կառավարման համակարգ:

• օգտագործել Ansible, Chef, Puppet կամ SaltStack՝ Dockerfile-ը տարածելու համար նպատակային համակարգերում՝ սահմանափակ մուտքի իրավունքներով:

CI/CD համակարգեր:

• սահմանափակել մուտքը այն պայլաններին, որոնք հավաքում են Dockerfile-ից պատկերներ:
• կարգավորել պայլանների հրահրումները՝ միայն վստահելի աղբյուրներից հավաքելու համար (օրինակ՝ որոշակի Git ճյուղ):

Ֆայլային համակարգի մուտքի իրավունքներ:

• կարգավորել օպերացիոն համակարգի ստանդարտ իրավունքները (chmod, chown Linux/Unix-ում) Dockerfile-ի ֆայլի համար՝ այն պահեստավորելու կամ օգտագործելու համար:

# սահմանափակել մուտքը միայն տիրոջ համար (կարդալ և գրել)
chmod 600 Dockerfile
# փոխել ֆայլի տիրոջը
chown user:group Dockerfile

Գաղտնաբառերի կառավարման համակարգեր:

• եթե Dockerfile-ը պարունակում է զգայուն տեղեկություններ (որ շատ չի խորհուրդ տրվում), օգտագործել HashiCorp Vault, CyberArk կամ այլ գաղտնաբառերի կառավարման համակարգեր՝ ինտեգրելով դրանց հավաքման գործընթացին:
• ավելի ճիշտ է գաղտնաբառերը դուրս բերել Dockerfile-ից և փոխանցել դրանք հավաքման կամ կոնտեյների գործարկման ժամանակ:

Docker գրանցամատյանի մուտքի վերահսկում:

• սահմանափակել մուտքը այն պահոցներին, որտեղ ուղարկվում են հավաքված պատկերները՝ հիմնված Dockerfile-ի վրա:
• սա չի սահմանափակում Dockerfile-ի մուտքը, բայց վերահսկում է, թե ով կարող է օգտագործել դրա արդյունքը:

// Օրինակ՝ ARG օգտագործելով փոփոխականներ փոխանցելու համար հավաքման ժամանակ՝ գաղտնաբառեր գրառելուց խուսափելու համար
ARG MY_SECRET_VAR
// օգտագործել MY_SECRET_VAR-ը RUN, ENV հրամաններում և այլն