Kā ierobežot piekļuvi Dockerfile?

Versijas kontroles sistēma (VCS):
- Novietot Dockerfile privātos Git repozitorijos (piemēram, GitLab, GitHub, Bitbucket).
- Konfigurēt piekļuves tiesības (READ, WRITE, ADMIN) uz repozitoriju noteiktiem lietotājiem vai grupām.
- Izmantot filiāles (branches) izmaiņu kontrolei un to pārskatīšanai (merge requests / pull requests).
Konfigurācijas pārvaldības sistēma:
- Izmantot Ansible, Chef, Puppet vai SaltStack, lai izplatītu Dockerfile mērķa sistēmās ar ierobežotām piekļuves tiesībām.
CI/CD sistēmas:
- Ierobežot piekļuvi piplainiem, kas veido attēlus no Dockerfile.
- Konfigurēt piplainu trigerus tā, lai būvniecība notiktu tikai no uzticamiem avotiem (piemēram, noteiktas Git filiāles).
Failu sistēmas piekļuves tiesības:
- Konfigurēt standarta operētājsistēmas piekļuves tiesības (chmod, chown Linux/Unix) Dockerfile failam, kur tas glabājas vai tiek izmantots būvēšanai.
```
# Ierobežot piekļuvi tikai īpašniekam (lasīšana un rakstīšana)
chmod 600 Dockerfile
# Mainīt faila īpašnieku
chown user:group Dockerfile
```
Slepeno datu pārvaldības sistēmas:
- Ja Dockerfile satur jutīgu informāciju (kas ir ļoti nevēlami), izmantot HashiCorp Vault, CyberArk vai citas slepeno datu pārvaldības sistēmas, integrējot tās būvniecības procesā.
- Labāk ir izņemt slepenos datus no Dockerfile un nodot tos būvniecības vai konteineru palaišanas laikā.
Docker reģistra piekļuves kontrole:
- Ierobežot piekļuvi repozitorijiem, kuros tiek augšupielādēti būvēti attēli, balstoties uz Dockerfile. Tas neierobežo tiešu Dockerfile piekļuvi, bet kontrolē, kurš var izmantot tā rezultātu.
```
// Piemērs, izmantojot ARG, lai nodotu mainīgos būvniecības laikā, izvairoties no slepeno datu ierakstīšanas
ARG MY_SECRET_VAR
// Tālāk izmantot MY_SECRET_VAR komandās RUN, ENV un tā tālāk
```