Build Args: қауіпсіздікке қауіп төндіретін ыңғайлылық
Docker құрастыру аргументтері құрастыру кезінде конфигурация мәндерін беруді жеңілдетеді, бірақ олар көбінесе назардан тыс қалатын шығындармен келеді: бұл аргументтерді кескін метадеректері мен қабаттарында сақтауға болады. Әзірлеушілер көбінесе бұл мәндер құрастырудан кейін жоғалып кетеді деп болжайды, бірақ шын мәнінде құрастыру аргументтері Docker нұсқаулары оларды Docker кескін тарихына енгізеді.
⚠️Қауіпсіз емес мысал, тек білім беру мақсатында. Өндірісте пайдаланбаңыз.
Жүгіріп бара жатқан кез келген адам докер тарихы or докер тексереді табады API_KEY кескіннің метадеректеріне енгізілген мән. Бұл Docker build arg командасының арқасында орын алады. commitәрбір құрылыс қадамын тұрақты қабат ретінде пайдаланыңыз.
Қауіпсіз нұсқасы:
Білім беру туралы ескертпе: Docker құрастыру аргументтері арқылы құпияларды енгізуден аулақ болыңыз. Қолданыңыз – құпия BuildKit құпия деректер үшін ұсынатын бекітулер; олар ешқашан қабаттарда немесе метадеректерде сақталмайды.
Құпиялар қабаттар мен метадеректерде қалай сақталады
Dockerfile ішіндегі әрбір нұсқаулық жаңа кескін қабатын жасайды. Файлдарды қайта жазғанда немесе жойғанда да, алдыңғы қабаттар кэште қалады. Міне, сондықтан Docker арқылы енгізілген құпиялар аргтарды құрастырады немесе аргтарды құрастырады, Docker шексіз сақталады.
⚠️Қауіпсіз емес мысал, тек білім беру мақсатында. Өндірісте пайдаланбаңыз.
пайдалану ARG осылайша токенді кескін қабатына енгізеді, ол арқылы көрінеді докер кескінін тексеру немесе кэштен алынған. Қауіпсіз нұсқасы:
Білім беру туралы ескертпе: Оның қолданылуы бойынша, құпия мәндер тарихта қалады. Токендер мен тіркелгі деректерін қорғау үшін оның орнына уақытша құпия бекітпелерді пайдаланыңыз.
Жиі кездесетін қате конфигурациялар CI/CD Pipelines
In қазіргі заманғы pipelinesәзірлеушілер көбінесе құпияларды ашады CI/CD Docker аргументтерін немесе ортақ кэштерді пайдаланатын орталар. Бұл әдет құпияларды журналдарға, жүгірушілерге және тізілім кэштеріне ашады. Ортақ жүгірушілермен бірге GitHub әрекеттері, GitLab CI немесе Дженкинс, бұл құпиялар бір-бірімен байланыссыз жұмыс орындарына оңай таралуы мүмкін.
⚠️Қауіпсіз емес мысал, тек білім беру мақсатында. Өндірісте пайдаланбаңыз.
Құпия ең аз артықшылық қағидаттарын бұза отырып, құрастыру журналдары мен кескін метадеректерінде аяқталады. Қауіпсіз нұсқасы:
Білім беру туралы ескертпе: жол бермеңіз –build-arg құпиялар үшін. Ішінде CI/CD, құпиялар ешқашан орта айнымалылары немесе журналдар арқылы өтпеуі керек. Әрқашан уақытша құпия бекітулерді артық көріңіз.
Жасырын әсер етудің алдын алудың ең жақсы тәжірибелері
Құпия ақпаратты жариялаудың алдын алу Docker құрастыру аргументтерінің дизайн бойынша жалпыға қолжетімді екенін мойындаудан басталады. Олар конфигурациялау үшін өте қолайлы (мысалы, нұсқа тегтері немесе мүмкіндік жалаушалары), бірақ тіркелгі деректері үшін емес.
Үздік тәжірибелер
- BuildKit пайдалану — құпия сезімтал деректер үшін.
- Құпияларды ешқашан ARG немесе ENV арқылы анықтамаңыз.
- қосу .env, құпиялар/, және конфигурация/ каталогтар .dockerignore.
- Көп сатылы құрылымдарды қолданыңыз жеке кезеңдерді оқшаулау үшін.
- Кэштерді тазалау сезімтал құрылыс кезеңдерінен кейін.
- Кескін метадеректерін тексеру жарияламас бұрын Docker тарихымен.
Шағын алдын алу тізімі
- Барлық Docker файлдарын аудиттеу Docker args құрастыру қолдану.
- Тіркелгі деректерін BuildKit арқылы ауыстырыңыз – құпия.
- қамтамасыз ету .dockerignore құпия файлдарды қоспайды.
- Тазалаңыз CI/CD қоршаған орта айнымалылары.
- Суреттерді жібермес бұрын құпия сканерлеуді автоматтандырыңыз.
Білім беру туралы ескертпе: Егер мән Docker build build arg арқылы өтсе, ол тұрақты болып қалады. Құпия деректерді қорғау үшін құпия бекіткіштерді және оқшауланған құрастыру кезеңдерін пайдаланыңыз.
Орналастыру алдында құрастыру аргументтерінің қауіпсіз емес пайдаланылуын анықтау
Автоматтандырылған сканерлеу кескінді өндіріске жібермес бұрын қауіпті Docker құрастыру аргументтерінің үлгілерін анықтау үшін өте маңызды. Мұндай құралдар Триви, Хадолинт, және Ксигени Docker файлдарына немесе кескін қабаттарына ендірілген тіркелгі деректерін анықтай алады.
Контекст және басқару қоршауы бар функционалдық үзінді
Бұл қадам алдын алу бақылауы ретінде әрекет етеді, орналастыру алдында қауіпсіз емес құрастыру аргументтері Docker нұсқауларын бұғаттайды.
Білім беру туралы ескертпе: Dockerfile сканерлеуін міндетті түрде біріктіру CI/CD Автоматтандырылған құралдар құрылыс гигиенасының тұрақты және қауіпсіз болуын қамтамасыз етуге көмектеседі.
Xygeni құрылыс кезіндегі құпия ағып кетулерден қалай қорғайды
Ксигени Құпиялар қауіпсіздігі Docker args дұрыс пайдаланбауын арнайы анықтауды қамтамасыз етеді. Ол қауіпті ARG анықтамаларын анықтайды, құрастыру кезеңдерінде құпия мәндерді бақылайды және кескін метадеректерінде немесе кэштелген қабаттарда қалған тіркелгі деректерін белгілейді. Сіздің жүйеңізбен интеграциялау арқылы CI/CD pipeline, ол біріктіру немесе шығару алдында Docker build build arg қауіпсіздік саясатын қолданады.
Функционалдық үзінді, контекстік орындау мысалы
Бұл жұмысты өз жұмысыңызға қосыңыз pipelineүздіксіз қорғау үшін валидация кезеңі.
Білім беру туралы ескертпе: Xygeni қауіпсіз Docker тәжірибелерін автоматты түрде қамтамасыз етеді, бұл қауіпті құрастыру уақытындағы конфигурациялардың орталар арқылы құпиялардың таралуына жол бермейді.
Түйін: Build Args Docker ешқашан құпияларды өңдеуі керек емес
Docker құрастыру аргтары - екі жақты қылыш, конфигурациялауға ыңғайлы, құпиялар үшін қауіпті. Сіз енгізген әрбір құрастыру Docker мәні метадеректерде, кескін тарихында немесе кэштерде сақталуы мүмкін.
Құрылыстарыңызды келесідей қорғаңыз:
- BuildKit пайдалану – құпия сенімхаттар үшін.
- Көп сатылы құрастыруларда құпия деректерді оқшаулау.
- Орналастыру алдында ағып кеткен мәндерді сканерлеу.
- Қауіпсіздік саясатын жүзеге асыру арқылы Xygeni Code Security.
Сіздің құрастыруыңыз pipeline тек сіз ашпаған құпиялар сияқты қауіпсіз. Әрбір Docker құрастыру аргументін ықтимал ашу векторы ретінде қарастырыңыз және шабуылдаушылар оны тапқанға дейін оны құлыптаңыз.
