Op welke manieren kan de toegang tot Dockerfile worden beperkt?

Versiebeheersysteem (VCS):

• Plaats Dockerfile in privé Git-repositories (bijvoorbeeld GitLab, GitHub, Bitbucket).
• Stel toegangsrechten (LEZEN, SCHRIJF, BEHEER) in voor specifieke gebruikers of groepen.
• Gebruik branches om wijzigingen te controleren en te reviewen (merge requests / pull requests).

Configuratiebeheersysteem:

• Gebruik Ansible, Chef, Puppet of SaltStack om Dockerfile te distribueren naar doelsystemen met beperkte toegangsrechten tot configuratiebestanden.

CI/CD-systemen:

• Beperk de toegang tot pipelines die images bouwen uit Dockerfile.
• Stel triggers in voor pipelines zodat de build alleen plaatsvindt vanuit vertrouwde bronnen (bijvoorbeeld een specifieke Git-branch).

Bestandsrechten op het bestandssysteem:

• Stel standaard bestandsrechten in het besturingssysteem in (chmod, chown in Linux/Unix) op het Dockerfile op de server waar het wordt opgeslagen of gebruikt voor de build.

# Beperk toegang tot het bestand tot alleen de eigenaar (lezen en schrijven)
chmod 600 Dockerfile
# Wijzig de eigenaar van het bestand
chown user:group Dockerfile

Secrets management systemen:

• Als Dockerfile gevoelige informatie bevat (wat sterk wordt afgeraden), gebruik HashiCorp Vault, CyberArk of andere secrets management systemen en integreer ze in het buildproces. Het is beter om secrets uit Dockerfile te halen en ze door te geven tijdens de build of het starten van de container.

Toegangscontrole op Docker Registry:

• Beperk de toegang tot de repositories waar de gebouwde images naartoe worden gepusht, gebaseerd op Dockerfile. Dit beperkt niet de toegang tot het Dockerfile zelf, maar controleert wie het resultaat kan gebruiken.

// Voorbeeld van het gebruik van ARG om variabelen door te geven tijdens de build, om geheime gegevens niet in Dockerfile te schrijven
ARG MY_SECRET_VAR
# Gebruik MY_SECRET_VAR vervolgens in RUN, ENV en dergelijke