ਬਿਲਡ ਆਰਗਸ: ਸਹੂਲਤ ਜੋ ਸੁਰੱਖਿਆ ਨਾਲ ਸਮਝੌਤਾ ਕਰ ਸਕਦੀ ਹੈ
ਡੌਕਰ ਬਿਲਡ ਆਰਗਸ ਬਿਲਡ ਸਮੇਂ ਕੌਂਫਿਗਰੇਸ਼ਨ ਮੁੱਲਾਂ ਨੂੰ ਪਾਸ ਕਰਨਾ ਆਸਾਨ ਬਣਾਉਂਦੇ ਹਨ, ਪਰ ਉਹਨਾਂ ਦੀ ਅਕਸਰ ਅਣਦੇਖੀ ਕੀਤੀ ਜਾਂਦੀ ਲਾਗਤ ਹੁੰਦੀ ਹੈ: ਉਹ ਆਰਗੂਮੈਂਟ ਚਿੱਤਰ ਮੈਟਾਡੇਟਾ ਅਤੇ ਲੇਅਰਾਂ ਵਿੱਚ ਬਣੇ ਰਹਿੰਦੇ ਹਨ। ਡਿਵੈਲਪਰ ਅਕਸਰ ਇਹ ਮੰਨਦੇ ਹਨ ਕਿ ਇਹ ਮੁੱਲ ਬਿਲਡ ਤੋਂ ਬਾਅਦ ਅਲੋਪ ਹੋ ਜਾਂਦੇ ਹਨ, ਪਰ ਅਸਲ ਵਿੱਚ, ਬਿਲਡ ਆਰਗਸ ਡੌਕਰ ਨਿਰਦੇਸ਼ ਉਹਨਾਂ ਨੂੰ ਡੌਕਰ ਚਿੱਤਰ ਇਤਿਹਾਸ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਦੇ ਹਨ।
⚠️ਅਸੁਰੱਖਿਅਤ ਉਦਾਹਰਣ, ਸਿਰਫ਼ ਵਿਦਿਅਕ ਉਦੇਸ਼ਾਂ ਲਈ। ਉਤਪਾਦਨ ਵਿੱਚ ਵਰਤੋਂ ਨਾ ਕਰੋ।
ਕੋਈ ਵੀ ਦੌੜ ਰਿਹਾ ਹੈ ਡੌਕਰ ਇਤਿਹਾਸ or ਡੌਕਰ ਨਿਰੀਖਣ ਲੱਭ ਜਾਵੇਗਾ API_KEY ਚਿੱਤਰ ਦੇ ਮੈਟਾਡੇਟਾ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤਾ ਮੁੱਲ। ਇਹ ਇਸ ਲਈ ਹੁੰਦਾ ਹੈ ਕਿਉਂਕਿ ਡੌਕਰ ਬਿਲਡ ਬਿਲਡ ਆਰਗ ਨਿਰਦੇਸ਼ commitਹਰੇਕ ਨਿਰਮਾਣ ਪੜਾਅ ਨੂੰ ਇੱਕ ਸਥਾਈ ਪਰਤ ਦੇ ਰੂਪ ਵਿੱਚ।
ਸੁਰੱਖਿਅਤ ਸੰਸਕਰਣ:
ਸਿੱਖਿਆ ਨੋਟ: ਡੌਕਰ ਬਿਲਡ ਆਰਗਸ ਰਾਹੀਂ ਭੇਦ ਪਾਉਣ ਤੋਂ ਬਚੋ। ਵਰਤੋਂ - ਗੁਪਤ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਲਈ ਬਿਲਡਕਿੱਟ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਮਾਊਂਟ; ਇਹ ਕਦੇ ਵੀ ਲੇਅਰਾਂ ਜਾਂ ਮੈਟਾਡੇਟਾ ਵਿੱਚ ਨਹੀਂ ਰਹਿੰਦੇ।
ਪਰਤਾਂ ਅਤੇ ਮੈਟਾਡੇਟਾ ਵਿੱਚ ਰਾਜ਼ ਕਿਵੇਂ ਬਣੇ ਰਹਿੰਦੇ ਹਨ
ਡੌਕਰਫਾਈਲ ਵਿੱਚ ਹਰ ਹਦਾਇਤ ਇੱਕ ਨਵੀਂ ਚਿੱਤਰ ਪਰਤ ਬਣਾਉਂਦੀ ਹੈ। ਜਦੋਂ ਤੁਸੀਂ ਫਾਈਲਾਂ ਨੂੰ ਓਵਰਰਾਈਟ ਜਾਂ ਮਿਟਾਉਂਦੇ ਹੋ, ਤਾਂ ਵੀ ਪੁਰਾਣੀਆਂ ਪਰਤਾਂ ਕੈਸ਼ ਵਿੱਚ ਰਹਿੰਦੀਆਂ ਹਨ। ਇਹੀ ਕਾਰਨ ਹੈ ਕਿ ਡੌਕਰ ਬਿਲਡ ਆਰਗਸ ਜਾਂ ਬਿਲਡ ਆਰਗਸ ਨਾਲ ਟੀਕੇ ਲਗਾਏ ਗਏ ਭੇਦ ਡੌਕਰ ਅਣਮਿੱਥੇ ਸਮੇਂ ਲਈ ਕਾਇਮ ਰਹਿੰਦੇ ਹਨ।
⚠️ਅਸੁਰੱਖਿਅਤ ਉਦਾਹਰਣ, ਸਿਰਫ਼ ਵਿਦਿਅਕ ਉਦੇਸ਼ਾਂ ਲਈ। ਉਤਪਾਦਨ ਵਿੱਚ ਵਰਤੋਂ ਨਾ ਕਰੋ।
ਦਾ ਇਸਤੇਮਾਲ ਕਰਕੇ ARG ਇਸ ਤਰੀਕੇ ਨਾਲ ਟੋਕਨ ਨੂੰ ਚਿੱਤਰ ਪਰਤ ਵਿੱਚ ਏਮਬੈਡ ਕਰਦਾ ਹੈ, ਜਿਸ ਰਾਹੀਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ ਡੌਕਰ ਚਿੱਤਰ ਨਿਰੀਖਣ ਜਾਂ ਕੈਸ਼ ਤੋਂ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ। ਸੁਰੱਖਿਅਤ ਸੰਸਕਰਣ:
ਸਿੱਖਿਆ ਨੋਟ: ਇਸਦੀ ਵਰਤੋਂ ਵਿੱਚ, ਸੰਵੇਦਨਸ਼ੀਲ ਮੁੱਲ ਇਤਿਹਾਸ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ। ਟੋਕਨਾਂ ਅਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੀ ਰੱਖਿਆ ਲਈ ਇਸਦੀ ਬਜਾਏ ਅਸਥਾਈ ਗੁਪਤ ਮਾਊਂਟ ਦੀ ਵਰਤੋਂ ਕਰੋ।
ਵਿੱਚ ਆਮ ਗਲਤ ਸੰਰਚਨਾਵਾਂ CI/CD Pipelines
In ਆਧੁਨਿਕ pipelines, ਡਿਵੈਲਪਰ ਅਕਸਰ ਭੇਤ ਭੇਜਦੇ ਹਨ CI/CD ਡੌਕਰ ਆਰਗਸ ਜਾਂ ਸ਼ੇਅਰਡ ਕੈਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵਾਤਾਵਰਣ। ਇਹ ਆਦਤ ਲੌਗਸ, ਰਨਰਸ ਅਤੇ ਰਜਿਸਟਰੀ ਕੈਸ਼ਾਂ ਵਿੱਚ ਰਾਜ਼ ਲੀਕ ਕਰਦੀ ਹੈ। ਸਾਂਝੇ ਦੌੜਾਕਾਂ ਦੇ ਨਾਲ GitHub ਕਾਰਵਾਈਆਂ, ਗਿੱਟਲੈਬ ਸੀਆਈ, ਜਾਂ ਜੇਨਕਿੰਸ, ਇਹ ਭੇਦ ਆਸਾਨੀ ਨਾਲ ਗੈਰ-ਸੰਬੰਧਿਤ ਨੌਕਰੀਆਂ ਵਿੱਚ ਫੈਲ ਸਕਦੇ ਹਨ।
⚠️ਅਸੁਰੱਖਿਅਤ ਉਦਾਹਰਣ, ਸਿਰਫ਼ ਵਿਦਿਅਕ ਉਦੇਸ਼ਾਂ ਲਈ। ਉਤਪਾਦਨ ਵਿੱਚ ਵਰਤੋਂ ਨਾ ਕਰੋ।
ਇਹ ਰਾਜ਼ ਬਿਲਡ ਲੌਗਸ ਅਤੇ ਚਿੱਤਰ ਮੈਟਾਡੇਟਾ ਵਿੱਚ ਖਤਮ ਹੁੰਦਾ ਹੈ, ਜੋ ਘੱਟੋ-ਘੱਟ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਸਿਧਾਂਤਾਂ ਦੀ ਉਲੰਘਣਾ ਕਰਦਾ ਹੈ। ਸੁਰੱਖਿਅਤ ਸੰਸਕਰਣ:
ਸਿੱਖਿਆ ਨੋਟ: ਬਚੋ -ਬਿਲਡ-ਆਰਗ ਭੇਦਾਂ ਲਈ। ਵਿੱਚ CI/CD, ਸੀਕਰੇਟ ਕਦੇ ਵੀ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਜਾਂ ਲੌਗਸ ਵਿੱਚੋਂ ਨਹੀਂ ਲੰਘਣੇ ਚਾਹੀਦੇ। ਹਮੇਸ਼ਾ ਅਸਥਾਈ ਸੀਕਰੇਟ ਮਾਊਂਟ ਨੂੰ ਤਰਜੀਹ ਦਿਓ।
ਗੁਪਤ ਐਕਸਪੋਜਰ ਨੂੰ ਰੋਕਣ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸ
ਗੁਪਤ ਐਕਸਪੋਜਰ ਨੂੰ ਰੋਕਣਾ ਇਹ ਸਵੀਕਾਰ ਕਰਕੇ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਕਿ ਡੌਕਰ ਬਿਲਡ ਆਰਗ ਡਿਜ਼ਾਈਨ ਦੁਆਰਾ ਜਨਤਕ ਹਨ। ਉਹ ਸੰਰਚਨਾ ਲਈ ਬਹੁਤ ਵਧੀਆ ਹਨ (ਜਿਵੇਂ ਕਿ ਵਰਜਨ ਟੈਗ ਜਾਂ ਵਿਸ਼ੇਸ਼ਤਾ ਫਲੈਗ), ਪਰ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਲਈ ਨਹੀਂ।
ਵਧੀਆ ਪ੍ਰੈਕਟਿਸ
- ਬਿਲਡਕਿੱਟ ਦੀ ਵਰਤੋਂ ਕਰੋ — ਗੁਪਤ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਲਈ।
- ਕਦੇ ਵੀ ARG ਜਾਂ ENV ਰਾਹੀਂ ਰਾਜ਼ਾਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਨਾ ਕਰੋ।
- ਜੋੜੋ .env, ਭੇਦ/ਹੈ, ਅਤੇ ਸੰਰਚਨਾ/ ਡਾਇਰੈਕਟਰੀਆਂ .ਡੌਕਰੀਗਿਨੋਰ.
- ਮਲਟੀ-ਸਟੇਜ ਬਿਲਡ ਲਾਗੂ ਕਰੋ ਨਿੱਜੀ ਪੜਾਵਾਂ ਨੂੰ ਅਲੱਗ ਕਰਨ ਲਈ।
- ਕੈਸ਼ ਸਾਫ਼ ਕਰੋ ਸੰਵੇਦਨਸ਼ੀਲ ਨਿਰਮਾਣ ਪੜਾਵਾਂ ਤੋਂ ਬਾਅਦ।
- ਚਿੱਤਰ ਮੈਟਾਡੇਟਾ ਪ੍ਰਮਾਣਿਤ ਕਰੋ ਪ੍ਰਕਾਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ ਡੌਕਰ ਇਤਿਹਾਸ ਦੇ ਨਾਲ।
ਛੋਟੀ ਰੋਕਥਾਮ ਚੈੱਕਲਿਸਟ
- ਸਾਰੀਆਂ ਡੌਕਰਫਾਈਲਾਂ ਦਾ ਆਡਿਟ ਕਰੋ ਬਿਲਡ ਆਰਗਸ ਡੌਕਰ ਵਰਤੋਂ.
- ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ BuildKit ਨਾਲ ਬਦਲੋ - ਗੁਪਤ.
- ਯਕੀਨੀ .ਡੌਕਰੀਗਿਨੋਰ ਸੰਵੇਦਨਸ਼ੀਲ ਫਾਈਲਾਂ ਨੂੰ ਸ਼ਾਮਲ ਨਹੀਂ ਕਰਦਾ।
- ਸੈਨੀਟਾਈਜ਼ ਕਰੋ CI/CD ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ।
- ਤਸਵੀਰਾਂ ਨੂੰ ਪੁਸ਼ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਗੁਪਤ ਸਕੈਨਿੰਗ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰੋ।
ਸਿੱਖਿਆ ਨੋਟ: ਜੇਕਰ ਕੋਈ ਮੁੱਲ ਡੌਕਰ ਬਿਲਡ ਬਿਲਡ ਆਰਗ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ, ਤਾਂ ਇਹ ਸਥਾਈ ਹੋ ਜਾਂਦਾ ਹੈ। ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਦੀ ਰੱਖਿਆ ਲਈ ਗੁਪਤ ਮਾਊਂਟ ਅਤੇ ਆਈਸੋਲੇਟਡ ਬਿਲਡ ਸਟੇਜਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ।
ਤੈਨਾਤੀ ਤੋਂ ਪਹਿਲਾਂ ਬਿਲਡ ਆਰਗਸ ਦੀ ਅਸੁਰੱਖਿਅਤ ਵਰਤੋਂ ਦਾ ਪਤਾ ਲਗਾਉਣਾ
ਕਿਸੇ ਚਿੱਤਰ ਨੂੰ ਉਤਪਾਦਨ ਵਿੱਚ ਧੱਕਣ ਤੋਂ ਪਹਿਲਾਂ ਜੋਖਮ ਭਰੇ ਡੌਕਰ ਬਿਲਡ ਆਰਗਸ ਪੈਟਰਨਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਆਟੋਮੇਟਿਡ ਸਕੈਨਿੰਗ ਜ਼ਰੂਰੀ ਹੈ। ਟੂਲ ਜਿਵੇਂ ਕਿ ਤ੍ਰਿਵੀ, ਹੈਡੋਲਿੰਟਹੈ, ਅਤੇ ਜ਼ਾਇਗੇਨੀ ਡੌਕਰਫਾਈਲਾਂ ਜਾਂ ਚਿੱਤਰ ਪਰਤਾਂ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦਾ ਪਤਾ ਲਗਾ ਸਕਦਾ ਹੈ।
ਸੰਦਰਭ ਅਤੇ ਨਿਯੰਤਰਣ ਗਾਰਡਰੇਲ ਦੇ ਨਾਲ, ਕਾਰਜਸ਼ੀਲ ਸਨਿੱਪਟ
ਇਹ ਕਦਮ ਇੱਕ ਰੋਕਥਾਮ ਨਿਯੰਤਰਣ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ, ਤੈਨਾਤੀ ਤੋਂ ਪਹਿਲਾਂ ਅਸੁਰੱਖਿਅਤ ਬਿਲਡ ਆਰਗਸ ਡੌਕਰ ਨਿਰਦੇਸ਼ਾਂ ਨੂੰ ਰੋਕਦਾ ਹੈ।
ਸਿੱਖਿਆ ਨੋਟ: ਡੌਕਰਫਾਈਲ ਸਕੈਨਿੰਗ ਨੂੰ ਲਾਜ਼ਮੀ ਵਜੋਂ ਏਕੀਕ੍ਰਿਤ ਕਰੋ CI/CD ਪੜਾਅ। ਸਵੈਚਾਲਿਤ ਔਜ਼ਾਰ ਇਕਸਾਰ, ਸੁਰੱਖਿਅਤ ਬਿਲਡ ਸਫਾਈ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ।
ਜ਼ਾਇਗੇਨੀ ਬਿਲਡ-ਟਾਈਮ ਸੀਕ੍ਰੇਟ ਲੀਕ ਤੋਂ ਕਿਵੇਂ ਬਚਾਉਂਦਾ ਹੈ
ਜ਼ਾਇਗੇਨੀ ਗੁਪਤ ਸੁਰੱਖਿਆ ਡੌਕਰ ਆਰਗਜ਼ ਦੀ ਦੁਰਵਰਤੋਂ ਲਈ ਵਿਸ਼ੇਸ਼ ਖੋਜ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਹ ਅਸੁਰੱਖਿਅਤ ARG ਪਰਿਭਾਸ਼ਾਵਾਂ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ, ਬਿਲਡ ਪੜਾਵਾਂ ਵਿੱਚ ਗੁਪਤ ਮੁੱਲਾਂ ਨੂੰ ਟਰੇਸ ਕਰਦਾ ਹੈ, ਅਤੇ ਚਿੱਤਰ ਮੈਟਾਡੇਟਾ ਜਾਂ ਕੈਸ਼ਡ ਲੇਅਰਾਂ ਵਿੱਚ ਬਾਕੀ ਬਚੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਫਲੈਗ ਕਰਦਾ ਹੈ। ਤੁਹਾਡੇ ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਕਰਕੇ CI/CD pipeline, ਇਹ ਮਰਜ ਜਾਂ ਰੀਲੀਜ਼ ਤੋਂ ਪਹਿਲਾਂ ਡੌਕਰ ਬਿਲਡ ਬਿਲਡ ਆਰਗ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ।
ਫੰਕਸ਼ਨਲ ਸਨਿੱਪਟ, ਸੰਦਰਭੀ ਲਾਗੂਕਰਨ ਉਦਾਹਰਨ
ਇਸ ਨੌਕਰੀ ਨੂੰ ਆਪਣੇ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ pipelineਨਿਰੰਤਰ ਸੁਰੱਖਿਆ ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਪੜਾਅ।
ਸਿੱਖਿਆ ਨੋਟ: Xygeni ਸੁਰੱਖਿਅਤ ਡੌਕਰ ਅਭਿਆਸਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਜੋਖਮ ਭਰੇ ਬਿਲਡ-ਟਾਈਮ ਕੌਂਫਿਗਰੇਸ਼ਨਾਂ ਨੂੰ ਵਾਤਾਵਰਣ ਵਿੱਚ ਰਾਜ਼ ਲੀਕ ਹੋਣ ਤੋਂ ਰੋਕਦਾ ਹੈ।
ਸਿੱਟਾ: ਬਿਲਡ ਆਰਗਸ ਡੌਕਰ ਨੂੰ ਕਦੇ ਵੀ ਰਾਜ਼ਾਂ ਨੂੰ ਨਹੀਂ ਸੰਭਾਲਣਾ ਚਾਹੀਦਾ
ਡੌਕਰ ਬਿਲਡ ਆਰਗ ਇੱਕ ਦੋਧਾਰੀ ਤਲਵਾਰ ਹਨ, ਸੰਰਚਨਾ ਲਈ ਸੁਵਿਧਾਜਨਕ, ਭੇਦ ਲਈ ਜੋਖਮ ਭਰਪੂਰ। ਤੁਹਾਡੇ ਦੁਆਰਾ ਲਗਾਇਆ ਗਿਆ ਹਰ ਬਿਲਡ ਡੌਕਰ ਮੁੱਲ ਮੈਟਾਡੇਟਾ, ਚਿੱਤਰ ਇਤਿਹਾਸ, ਜਾਂ ਕੈਸ਼ਾਂ ਵਿੱਚ ਕਾਇਮ ਰਹਿ ਸਕਦਾ ਹੈ।
ਆਪਣੇ ਬਿਲਡਾਂ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਸੁਰੱਖਿਅਤ ਕਰੋ:
- ਬਿਲਡਕਿੱਟ ਦੀ ਵਰਤੋਂ ਕਰਨਾ - ਗੁਪਤ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਲਈ।
- ਮਲਟੀ-ਸਟੇਜ ਬਿਲਡਜ਼ ਵਿੱਚ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਨੂੰ ਅਲੱਗ ਕਰਨਾ।
- ਤੈਨਾਤੀ ਤੋਂ ਪਹਿਲਾਂ ਲੀਕ ਹੋਏ ਮੁੱਲਾਂ ਲਈ ਸਕੈਨ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ।
- ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ Xygeni Code Security.
ਤੁਹਾਡਾ ਨਿਰਮਾਣ pipeline ਇਹ ਓਨਾ ਹੀ ਸੁਰੱਖਿਅਤ ਹੈ ਜਿੰਨਾਂ ਭੇਦ ਤੁਸੀਂ ਪ੍ਰਗਟ ਨਹੀਂ ਕਰਦੇ। ਹਰੇਕ ਡੌਕਰ ਬਿਲਡ ਬਿਲਡ ਆਰਗ ਨੂੰ ਇੱਕ ਸੰਭਾਵੀ ਖੁਲਾਸਾ ਵੈਕਟਰ ਵਜੋਂ ਮੰਨੋ, ਅਤੇ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਇਸਨੂੰ ਲੱਭਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਲਾਕ ਕਰੋ।
