حاوية
أمان كوبرنيتيس

1# Dockerfile آمن
2FROM ubuntu:22.04  # ✅ صورة أساسية مدعومة
3RUN apt-get update && apt-get install -y --no-install-recommends \
4    package1=1.2.3 package2=4.5.6 && \\  # ✅ تثبيت الحزم
5    rm -rf /var/lib/apt/lists/*  # ✅ تقليل حجم الصورة
6COPY --chown=app:app . /app/  # ✅ أذونات صحيحة
7RUN useradd -r app
8USER app  # ✅ مستخدم غير جذر
9EXPOSE 8080  # ✅ منفذ غير مميز
10# ✅ إدارة الأسرار عبر البيئة
11COPY . /app/
12CMD [python, app.py]
13 

1# Dockerfile ضعيف
2FROM ubuntu:18.04  # ❌ صورة أساسية منتهية الصلاحية (367 ثغرة أمنية)
3RUN apt-get update  # ❌ عدم تثبيت الحزم
4COPY secrets.json /app/  # ❌ أسرار في الصورة
5RUN useradd app
6USER root  # ❌ التشغيل كجذر
7EXPOSE 22  # ❌ SSH مكشوف
8ENV API_KEY=sk-1234567890  # ❌ سر في متغير البيئة
9COPY . /app/
10CMD [python, app.py]
11 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: secure-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.21  # ✅ Updated secure version
9    securityContext:
10      allowPrivilegeEscalation: false  # ✅ No privilege escalation
11      runAsNonRoot: true              # ✅ Non-root user
12      runAsUser: 1000                 # ✅ Specific UID
13      readOnlyRootFilesystem: true    # ✅ Read-only filesystem
14      capabilities:
15        drop: [ALL]                 # ✅ Drop all capabilities
16        add: [NET_BIND_SERVICE]     # ✅ Only required caps
17    resources:
18      limits:
19        memory: 256Mi               # ✅ Resource limits
20        cpu: 200m
21        ephemeral-storage: 1Gi
22      requests:
23        memory: 128Mi
24        cpu: 100m
25    livenessProbe:                    # ✅ Health checks
26      httpGet:
27        path: /health
28        port: 8080
29    readinessProbe:
30      httpGet:
31        path: /ready
32        port: 8080
33 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: vulnerable-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.14  # ❌ إصدار ضعيف
9    securityContext:
10      privileged: true  # ❌ وصول كامل إلى المضيف
11      runAsUser: 0     # ❌ مستخدم الجذر
12    volumeMounts:
13    - name: host-root
14      mountPath: /host  # ❌ الوصول إلى نظام ملفات المضيف
15  volumes:
16  - name: host-root
17    hostPath:
18      path: /          # ❌ تركيب جذر المضيف
19  hostNetwork: true    # ❌ وصول شبكة المضيف
20  hostPID: true        # ❌ مساحة اسم PID للمضيف
21