Kontener
Bezpieczeństwo Kubernetes

1# Bezpieczny Dockerfile
2FROM ubuntu:22.04  # ✅ Obsługiwana baza obrazu
3RUN apt-get update && apt-get install -y --no-install-recommends \
4    package1=1.2.3 package2=4.5.6 && \\  # ✅ Przypinanie pakietów
5    rm -rf /var/lib/apt/lists/*  # ✅ Zmniejszenie rozmiaru obrazu
6COPY --chown=app:app . /app/  # ✅ Właściwe uprawnienia
7RUN useradd -r app
8USER app  # ✅ Użytkownik nie-root
9EXPOSE 8080  # ✅ Nieuprzywilejowany port
10# ✅ Sekrety zarządzane przez środowisko
11COPY . /app/
12CMD [python, app.py]
13 

1# Wrażliwy Dockerfile
2FROM ubuntu:18.04  # ❌ EOL baza obrazu (367 CVEs)
3RUN apt-get update  # ❌ Brak przypinania pakietów
4COPY secrets.json /app/  # ❌ Sekrety w obrazie
5RUN useradd app
6USER root  # ❌ Uruchamianie jako root
7EXPOSE 22  # ❌ SSH wystawiony
8ENV API_KEY=sk-1234567890  # ❌ Sekret w zmiennej środowiskowej
9COPY . /app/
10CMD [python, app.py]
11 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: secure-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.21  # ✅ Updated secure version
9    securityContext:
10      allowPrivilegeEscalation: false  # ✅ No privilege
11      escalation
12      runAsNonRoot: true              # ✅ Non-root user
13      runAsUser: 1000                 # ✅ Specific UID
14      readOnlyRootFilesystem:
15 true    # ✅ Read-only filesystem
16      capabilities:
17        drop: [ALL]
18                 # ✅ Drop all capabilities
19        add: [NET_BIND_SERVICE]
20     # ✅ Only required caps
21    resources:
22      limits:
23        memory:
24 256Mi               # ✅ Resource limits
25        cpu: 200m
26        ephemeral-storage:
27 1Gi
28      requests:
29        memory: 128Mi
30        cpu: 100m
31    livenessProbe:
32                    # ✅ Health checks
33      httpGet:
34        path: /health
35        port: 8080
36    readinessProbe:
37      httpGet:
38        path: /ready
39        port: 8080
40 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: vulnerable-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.14  # ❌ Wrażliwa wersja
9    securityContext:
10      privileged: true  # ❌ Pełny dostęp do hosta
11      runAsUser: 0     # ❌ Użytkownik root
12    volumeMounts:
13    - name: host-root
14      mountPath: /host  # ❌ Dostęp do systemu plików hosta
15  volumes:
16  - name: host-root
17    hostPath:
18      path: /          # ❌ Montowanie root hosta
19  hostNetwork: true    # ❌ Dostęp do sieci hosta
20  hostPID: true        # ❌ Przestrzeń nazw PID hosta
21