Eng kam huquq tamoyili

qiyin

Konteyner buzib kirilsa, hujumchi o'sha konteyner qanday huquqqa ega bo'lsa, shunga ega bo'ladi. Standart holatda bu — root va yoziladigan fayl tizimi. Ikkalasini ham torting.

web va api root bo'lmagan foydalanuvchida ishlasin (user: "1000:1000").
Ikkalasining ham fayl tizimi faqat o'qish uchun bo'lsin (read_only: true).
Ikkala image ham aniq versiya tegiga bog'langan bo'lsin.
web 80 portda ochilsin, api esa tashqariga umuman chiqmasin.
Ikkalasi ham ichki tarmoqda bo'lsin va u e'lon qilinsin.

Eslatma: bu konfiguratsiyada privileged, cap_add yoki host papkasini ulash ham bor — xavfsizlik tekshiruvlari ularni alohida qizil qilib ko'rsatadi.

…

docker-compose.yml

services:
  web:
    image: nginx:latest
    ports:
      - "80:80"
    privileged: true
    volumes:
      - /etc/nginx:/etc/nginx
  api:
    image: python:latest
    ports:
      - "8000:8000"
    cap_add:
      - SYS_ADMIN

! 3 ta muammo —

Tab ichkariga · Shift+Tab tashqariga⌘/Ctrl+Enter tekshirishEsc maydondan chiqish

2 servis · 0 tarmoq · 0 volume · 3 ta muammo

Muammolar 3

lab siyosati rad etadi
web.privileged — kengaytirilgan huquq
lab siyosati: privileged/cap_add/devices ishlatilmaydi
lab siyosati rad etadi
/etc/nginx — host papkasi ulanmoqda
lab siyosati: faqat nomlangan volume'lar
lab siyosati rad etadi
api.cap_add — kengaytirilgan huquq
lab siyosati: privileged/cap_add/devices ishlatilmaydi

Servislar 2

nginx:latest

portlar: 0.0.0.0:80 → 80/tcp
healthcheck: yo'q
restart: no (standart)
user: root (standart)
volume: /etc/nginx → /etc/nginx
tarmoq: default

python:latest

portlar: 0.0.0.0:8000 → 8000/tcp
healthcheck: yo'q
restart: no (standart)
user: root (standart)
tarmoq: default

Ishga tushish tartibi

webhech kimni kutmaydi
apihech kimni kutmaydi