डॉकर छवियों को सुरक्षित करने के लिए 10 सर्वश्रेष्ठ अभ्यास। भाग २

लेख का एक अनुवाद विशेष रूप से लिनक्स सुरक्षा पाठ्यक्रम के छात्रों के लिए तैयार किया गया था।


पहला भाग पढ़ें

---

5. डॉकटर छवियों में संवेदनशील डेटा को न छोड़ें

कभी-कभी डॉकर छवि के अंदर एक एप्लिकेशन बनाते समय, आपको निजी पैकेज या टोकन बंद पैकेज स्थापित करने के लिए कोड निकालने के लिए एक निजी एसएसएच कुंजी के रूप में इस तरह के संवेदनशील डेटा की आवश्यकता होती है। यदि आप उन्हें एक मध्यवर्ती डॉकटर कंटेनर में कॉपी करते हैं, तो उन्हें उस परत में कैश किया जाता है जिसमें उन्हें जोड़ा गया था, भले ही आप उन्हें बाद में हटा दें। इन टोकन और कुंजियों को Dockerfile बाहर संग्रहीत किया जाना चाहिए।

मल्टी-स्टेज बिल्ड का उपयोग करें

मल्टी-स्टेज बिल्ड के लिए डॉकर समर्थन का उपयोग करना, छवि की मध्य परत में रहस्यों में हेरफेर करता है, जिसे बाद में हटा दिया जाता है ताकि कोई संवेदनशील डेटा अंतिम निर्माण तक न पहुंच सके। मिडलवेयर में गुप्त डेटा जोड़ने के लिए निम्न कोड का उपयोग करें:

 FROM: ubuntu as intermediate WORKDIR /app COPY secret/key /tmp/ RUN scp -i /tmp/key build@acme/files . FROM ubuntu WORKDIR /app COPY --from=intermediate /app . 

डॉकर सीक्रेट्स कमांड का उपयोग करें

संवेदनशील फ़ाइलों को कैशिंग किए बिना संवेदनशील डेटा को प्रबंधित करने के लिए डॉकर में अल्फा फ़ंक्शन का उपयोग करें:

 # syntax = docker/dockerfile:1.0-experimental FROM alpine # shows secret from default secret location RUN --mount=type=secret,id=mysecret cat /run/secrets/mysecre # shows secret from custom secret location RUN --mount=type=secret,id=mysecret,dst=/foobar cat /foobar 

आप डॉकर वेबसाइट पर संवेदनशील डेटा के प्रबंधन के बारे में अधिक जान सकते हैं।

पुनरावर्ती नकल से सावधान रहें

आपको बनाई गई छवि की फ़ाइलों की प्रतिलिपि बनाने पर भी ध्यान देना चाहिए। उदाहरण के लिए, निम्न आदेश पुनरावर्तक रूप से संपूर्ण असेंबली संदर्भ फ़ोल्डर को डॉकटर छवि पर कॉपी करता है, जिसके परिणामस्वरूप संवेदनशील फ़ाइलों की प्रतिलिपि बनाई जा सकती है:

 COPY . . 

यदि आपके फ़ोल्डर में संवेदनशील फ़ाइलें हैं, तो उन्हें हटा दें या उपयोग करें। उन्हें अनदेखा करने के लिए .dockerignore :

 private.key appsettings.json 

6. प्रतिरक्षा के लिए निश्चित टैग का उपयोग करें

प्रत्येक डॉकर छवि में कई टैग हो सकते हैं जो समान छवियों के बदलाव का प्रतिनिधित्व करते हैं। सबसे आम टैग latest , एक छवि के नवीनतम संस्करण का प्रतिनिधित्व करता है। छवि टैग अपरिवर्तनीय नहीं हैं, और एक छवि लेखक एक ही टैग को कई बार प्रकाशित कर सकता है।

इसका मतलब यह है कि आपकी डॉक फाइल के लिए बेस इमेज बिल्ड के बीच बदल सकती है। आधार छवि में किए गए परिवर्तनों के कारण अप्रत्याशित व्यवहार हो सकता है।

इस समस्या को ठीक करने के कई तरीके हैं:

• उपलब्ध सबसे विशिष्ट टैग को प्राथमिकता दें। यदि छवि के कई टैग हैं, जैसे :8 और :8.0.1 या सम :8.0.1-alpine , बाद वाला पसंद करते हैं, क्योंकि यह छवि का सबसे विशिष्ट लिंक है। नवीनतम जैसे सामान्य टैग का उपयोग करने से बचें। किसी विशिष्ट टैग को पिन करते समय, ध्यान रखें कि इसे अंततः हटाया जा सकता है।
• इस समस्या को हल करने के लिए कि एक विशिष्ट छवि टैग अप्राप्य हो जाता है और उन समूहों के लिए एक विज्ञापन प्रदर्शन सीमा बन जाती है जो इस पर भरोसा करते हैं, रजिस्ट्री या खाते में उस छवि का स्थानीय दर्पण शुरू करने पर विचार करें जो आपके नियंत्रण में है। इस दृष्टिकोण के लिए आवश्यक रखरखाव लागतों को ध्यान में रखना महत्वपूर्ण है, क्योंकि इसका मतलब है कि आपको रजिस्ट्री बनाए रखने की आवश्यकता है। यह उस छवि को दोहराने के लिए अच्छा अभ्यास है जिसे आप अपनी रजिस्ट्री में उपयोग करना चाहते हैं यह सुनिश्चित करने के लिए कि आप जिस छवि का उपयोग कर रहे हैं वह बदल नहीं रही है।
• अत्यंत विशिष्ट बनो! टैग को खींचने के बजाय, एक विशिष्ट SHA256 लिंक का उपयोग करके छवि को डॉकर छवि पर खींचें, जो सुनिश्चित करता है कि आपको हर अनुरोध के लिए एक ही छवि मिलती है। हालाँकि, ध्यान दें कि SHA256 लिंक का उपयोग करने पर निम्नलिखित जोखिम हो सकते हैं - यदि छवि में परिवर्तन होता है, तो हैश अब काम नहीं कर सकता है।

7. ADD के बजाय COPY का उपयोग करें

जब इसे बनाया जाता है तो डॉकर होस्ट से फाइल की नकल करने के लिए दो कमांड प्रदान करता है: COPY और ADD । कमांड प्रकृति में समान हैं, लेकिन उनकी कार्यक्षमता में भिन्नता है:

• COPY - स्थानीय फ़ाइलों की प्रतिलिपि बनाता है, स्रोत और लक्ष्य फ़ाइलों या निर्देशिकाओं का संकेत देता है। COPY के साथ आपको स्थानों की घोषणा करनी चाहिए।
• ADD - स्थानीय फ़ाइलों की पुनरावृत्ति करता है, यदि यह मौजूद नहीं है, तो अंतर्निहित रूप से एक गंतव्य निर्देशिका बनाता है, और अभिलेखागार को एक स्रोत के रूप में स्थानीय या दूरस्थ URL के रूप में स्वीकार करता है, जिसे वह गंतव्य निर्देशिका में क्रमशः लोड या लोड करता है।
  यद्यपि ADD और COPY के बीच अंतर इतना मौलिक नहीं है, फिर भी वे महत्वपूर्ण हैं। संभावित सुरक्षा मुद्दों से बचने के लिए उनके बारे में जागरूक रहें:
• जब दूरस्थ URL का उपयोग डेटा को उसके मूल स्थान पर सीधे डाउनलोड करने के लिए किया जाता है, तो इससे ब्रोकर हमले हो सकते हैं जो डाउनलोड की गई फ़ाइल की सामग्री को संशोधित करते हैं। इसके अलावा, दूरस्थ URL की उत्पत्ति और प्रामाणिकता को और सत्यापित किया जाना चाहिए। COPY का उपयोग करते समय, दूरस्थ URL से डाउनलोड की जाने वाली फ़ाइलों के स्रोत को सुरक्षित TLS कनेक्शन पर घोषित किया जाना चाहिए, और उनकी उत्पत्ति भी सत्यापित की जानी चाहिए।
• छवियों के स्थान और परतों के बारे में नोट्स: COPY का उपयोग करने से आप संग्रह के जोड़ को दूरस्थ स्थानों से अलग कर सकते हैं और इसे विभिन्न परतों में अनपैक कर सकते हैं, जो छवियों के कैश का अनुकूलन करता है। यदि दूरस्थ फ़ाइलों की आवश्यकता होती है, तो उन सभी को एक आरयूएन कमांड में मिलाएं, जो बाद में डाउनलोड, अर्क और शुद्ध करता है, जो कई परतों पर एकल-परत ऑपरेशन का अनुकूलन करता है जो कि एडीडी का उपयोग करना आवश्यक होगा।
• जब स्थानीय अभिलेखागार का उपयोग किया जाता है, तो ADD स्वचालित रूप से उन्हें गंतव्य निर्देशिका में निकालता है। हालांकि यह स्वीकार्य हो सकता है, यह ज़िप बम और जिप स्लिप कमजोरियां होने का जोखिम जोड़ता है , जिसे तब स्वचालित रूप से लॉन्च किया जा सकता है।

8. मेटाडेटा टैग का उपयोग करें

छवि लेबल आपके द्वारा बनाई गई छवियों के लिए मेटाडेटा प्रदान करते हैं। यह उपयोगकर्ताओं को आसानी से समझने में मदद करता है कि छवि का उपयोग कैसे करें। सबसे आम टैग "अनुरक्षक" है, जो इस छवि का समर्थन करने वाले व्यक्ति के ईमेल पते और नाम को इंगित करता है। निम्नलिखित LABEL कमांड का उपयोग करके मेटाडेटा जोड़ें:

 LABEL maintainer="me@acme.com" 

अनुरक्षक के संपर्कों के अलावा, आपके लिए महत्वपूर्ण कोई भी मेटाडेटा जोड़ें। इस मेटाडेटा में हो सकता है: एक प्रतिबद्ध हैश, उपयुक्त असेंबली का लिंक, गुणवत्ता की स्थिति (सभी परीक्षण पास किए गए हैं?), स्रोत कोड, SECURITY.TXT फ़ाइल के स्थान का लिंक आदि।

SECURITY.TXT (RFC5785) फ़ाइल का समर्थन करने के लिए यह अच्छा अभ्यास है, जो उदाहरण के लिए, नए जोड़ते समय आपकी डॉकर लेबल योजना के लिए आपकी ज़िम्मेदार प्रकटीकरण नीति को इंगित करता है:

 LABEL securitytxt="https://www.example.com/.well-known/security.txt" 

Docker छवियों के लिए अधिक लेबल जानकारी देखें:

https://label-schema.org/rc1/

9. छोटी और सुरक्षित छवियों के लिए मल्टी-स्टेज असेंबली का उपयोग करें

जब आप Dockerfile का उपयोग करके एक एप्लिकेशन बनाते हैं, तो कई कलाकृतियां बनाई जाती हैं जो केवल बिल्ड समय पर आवश्यक होती हैं। यह संकलन के लिए आवश्यक विकास उपकरण और पुस्तकालय हो सकते हैं, या यूनिट परीक्षण, अस्थायी फाइलें, रहस्य आदि चलाने के लिए आवश्यक निर्भरताएं हो सकती हैं।

उत्पादन में इस्तेमाल की जा सकने वाली मूल छवि में इन कलाकृतियों को संग्रहीत करने से डॉकर छवि के आकार में वृद्धि होती है, जो इसे डाउनलोड करने में लगने वाले समय को बहुत प्रभावित कर सकती है और हमले की सतह को भी बढ़ा सकती है, जिसके परिणामस्वरूप अधिक पैकेज स्थापित किए जाएंगे। डॉकर छवि के लिए वही सही है जिसका आप उपयोग कर रहे हैं - आपको एक विशिष्ट डॉकर छवि बनाने की आवश्यकता हो सकती है, लेकिन अपना एप्लिकेशन कोड चलाने के लिए नहीं।

गोलंग इसका बेहतरीन उदाहरण है। गोलांग एप्लिकेशन बनाने के लिए, आपको एक गो संकलक की आवश्यकता है। कंपाइलर एक निष्पादन योग्य फ़ाइल बनाता है जो किसी भी ऑपरेटिंग सिस्टम पर निर्भर करता है, बिना निर्भरता के, स्वच्छ छवियों सहित।

यह एक अच्छा कारण है कि डॉकर में चरणों में निर्माण करने की क्षमता है। यह फ़ंक्शन आपको असेंबली प्रक्रिया के दौरान कई अस्थायी छवियों का उपयोग करने की अनुमति देता है, केवल अंतिम छवि को सहेजने के साथ-साथ उस जानकारी की जिसे आपने कॉपी किया था। तो आपके पास दो चित्र हैं:

• पहली छवि एक बहुत बड़े आकार की है, जो कई निर्भरता के साथ युग्मित है जिसका उपयोग एप्लिकेशन बनाने और परीक्षण चलाने के लिए किया जाता है।
• दूसरी छवि आकार और पुस्तकालयों की संख्या के संदर्भ में बहुत हल्की है, जिसमें उत्पादन में एप्लिकेशन को चलाने के लिए आवश्यक कलाकृतियों की केवल प्रतियां शामिल हैं।

10. लिंटर का इस्तेमाल करें

सामान्य गलतियों से बचने और इंजीनियरों द्वारा स्वचालित रूप से पालन किए जाने वाले सर्वोत्तम अभ्यासों को स्थापित करने के लिए लिंटर का उपयोग करें।

ऐसा ही एक लिंटर है हॉलिंट । यह डॉकरफाइल का विश्लेषण करता है और किसी भी त्रुटि के बारे में चेतावनी जारी करता है जो इसकी सिफारिशों का अनुपालन नहीं करता है।



एक एकीकृत विकास वातावरण (IDE) में उपयोग किए जाने पर हैडोलिंट और भी अधिक शक्तिशाली हो जाता है। उदाहरण के लिए, हडोल्ट को एक VSCode एक्सटेंशन के रूप में उपयोग करते समय , इनपुट के दौरान लाइनिंग त्रुटियां दिखाई देती हैं। यह तेजी से सबसे अच्छा dockerfiles लिखने में मदद करता है।

अपने डॉकर चित्रों की सुरक्षा के बारे में अधिक जानें।