Na koje načine može da se ograniči pristup Dockerfile-u?

Sistem kontrole verzija (VCS):

• Dockerfile smeštajte u privatne Git repozitorijume (npr. GitLab, GitHub, Bitbucket).
• Konfigurišite prava pristupa (READ, WRITE, ADMIN) za određene korisnike ili grupe.
• Koristite grane (branches) za kontrolu promena i njihovo pregledanje (merge requests / pull requests).

Sistem za upravljanje konfiguracijom:

• Koristite Ansible, Chef, Puppet ili SaltStack za distribuciju Dockerfile-a ciljnim sistemima sa ograničenim pravima pristupa konfiguracionim fajlovima.

Sistemi CI/CD:

• Ograničite pristup pipeline-ima koji prave slike od Dockerfile-a.
• Konfigurišite okidače pipeline-a tako da se build vrši samo iz pouzdanih izvora (npr. određena grana Git-a).

Prava pristupa fajlovima u fajl sistemu:

• Konfigurišite standardna prava pristupa operativnog sistema (chmod, chown u Linux/Unix) na Dockerfile na serveru gde se čuva ili koristi za build.

# Ograničiti pristup fajlu samo vlasniku (čitanje i pisanje)
chmod 600 Dockerfile
# Promeniti vlasnika fajla
chown user:group Dockerfile

Sistemi za upravljanje tajnama:

• Ako Dockerfile sadrži osetljive informacije (što se snažno ne preporučuje), koristite HashiCorp Vault, CyberArk ili druge sisteme za upravljanje tajnama, integrišući ih u proces build-a. Bolje je eksternalizovati tajne iz Dockerfile-a i proslediti ih tokom build-a ili pokretanja kontejnera.

Kontrola pristupa Docker Registry-ju:

• Ograničite pristup repozitorijumima gde se push-aju izgrađeni imidži bazirani na Dockerfile-u. Ovo ne ograničava pristup Dockerfile-u, već kontroliše ko može koristiti njegov rezultat.

// Primer korišćenja ARG za prenos promenljivih tokom build-a, kako bi se izbeglo zapisivanje tajni u Dockerfile
ARG MY_SECRET_VAR
# Zatim koristiti MY_SECRET_VAR u komandama RUN, ENV i dr.