Akými spôsobmi je možné obmedziť prístup k Dockerfile?

Systém kontroly verzií (VCS):

• Uložte Dockerfile do súkromných Git repozitárov (napríklad GitLab, GitHub, Bitbucket).
• Nakonfigurujte práva na prístup (READ, WRITE, ADMIN) k repozitáru pre špecifických používateľov alebo skupiny.
• Používajte vetvy (branches) na kontrolu zmien a ich revíziu (merge requests / pull requests).

Systém správy konfigurácie:

• Používajte Ansible, Chef, Puppet alebo SaltStack na distribúciu Dockerfile na cieľové systémy s obmedzenými právami na konfiguračné súbory.

Systémy CI/CD:

• Obmedzte prístup k pipeline-om, ktoré stavajú obrazy z Dockerfile.
• Nakonfigurujte spúšťače pipeline-ov tak, aby sa build vykonával iba zo spoľahlivých zdrojov (napríklad určená vetva Git).

Práva na súbory v súborovom systéme:

• Nakonfigurujte štandardné práva operačného systému (chmod, chown v Linux/Unix) na Dockerfile na serveri, kde je uložený alebo použitý na build.

# Obmedziť prístup k súboru iba vlastníkovi (čítanie a zápis)
chmod 600 Dockerfile
# Zmeniť vlastníka súboru
chown user:group Dockerfile

Systémy správy tajomstiev:

• Ak Dockerfile obsahuje citlivé informácie (čo sa veľmi neodporúča), použite HashiCorp Vault, CyberArk alebo iné systémy správy tajomstiev a integrujte ich do procesu build-u. Je vhodnejšie tajomstvá externé spravovať mimo Dockerfile a odovzdávať ich počas build-u alebo spustenia kontajnera.

Kontrola prístupu k Docker Registry:

• Obmedzte prístup k repozitárom, do ktorých sa push-ujú zostavené obrazy založené na Dockerfile. Toto neobmedzuje prístup k samotnému Dockerfile, ale kontroluje, kto môže použiť jeho výsledok.

// Príklad použitia ARG na prenášanie premenných počas build-u, aby sa zabránilo zápisu tajomstiev v Dockerfile
ARG MY_SECRET_VAR
# Následne použiť MY_SECRET_VAR v príkazoch RUN, ENV a pod.