镜像安全 - 构建安全的基础

使用可信的基础镜像

# 使用官方镜像和特定版本
FROM node:18.16.0-alpine

# 避免使用latest标签
# 不推荐: FROM ubuntu:latest
# 推荐: FROM ubuntu:20.04

# 使用最小化基础镜像
FROM alpine:3.18
# 或者使用distroless镜像
FROM gcr.io/distroless/base-debian11
                    

多阶段构建减小攻击面

# 构建阶段
FROM golang:1.19 AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp .

# 运行阶段 - 使用最小化镜像
FROM alpine:3.18
RUN apk --no-cache add ca-certificates
WORKDIR /root/
COPY --from=builder /app/myapp .
USER nobody  # 使用非root用户
CMD ["./myapp"]
                    

定期更新和扫描镜像

# 使用Trivy扫描镜像漏洞
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy image my-app:latest

# 使用Docker Scout（Docker Desktop）
docker scout quickview my-app:latest

# 使用Grype扫描
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock anchore/grype my-app:latest
                    

镜像签名和内容信任

# 启用Docker内容信任
export DOCKER_CONTENT_TRUST=1

# 推送签名镜像
docker push myrepo/my-app:1.0

# 验证镜像签名
docker pull myrepo/my-app:1.0

# 在CI/CD中配置内容信任
echo $DOCKER_CONTENT_TRUST_KEY | base64 -d > /tmp/key.json
docker trust key load /tmp/key.json --name my-key
                    

网络安全 - 保护通信安全

网络隔离和策略

# 创建隔离的网络
docker network create --internal isolated-net

# 使用自定义网络
docker run --network my-app-network my-app

# 在Docker Compose中配置网络
# networks:
#   frontend:
#     driver: bridge
#   backend:
#     internal: true
                    

最小化端口暴露

# 只暴露必要的端口
EXPOSE 8080

# 避免暴露不必要的服务端口
# 错误: EXPOSE 22 3306 5432 8080
# 正确: EXPOSE 8080
                    

# 绑定到特定IP
docker run -p 127.0.0.1:8080:8080 my-app

# 使用用户定义的网络而不是默认bridge
docker network create my-network
docker run --network my-network -p 8080:8080 my-app
                    

TLS加密通信

# 配置Docker守护进程TLS
dockerd \
--tlsverify \
--tlscacert=ca.pem \
--tlscert=server-cert.pem \
--tlskey=server-key.pem \
-H=0.0.0.0:2376

# 客户端使用TLS连接
docker --tlsverify \
--tlscacert=ca.pem \
--tlscert=cert.pem \
--tlskey=key.pem \
-H=$HOST:2376 version