hexops-graveyard/dockerfile
Dockerfile
Ce projet est une collection de bonnes pratiques et de templates curés pour créer des images Docker sécurisées, stables et prêtes pour la production. Il fournit des standards pour l'optimisation des images OCI et un guide pour implémenter des configurations conformes aux standards de l'industrie dans les environnements de conteneurs.
Le dépôt propose des modèles spécifiques pour le durcissement de la sécurité, comme l'implémentation de l'exécution par un utilisateur non-root avec des ID statiques pour empêcher l'élévation de privilèges sur l'hôte. Il fournit également des templates structurels pour les builds multi-étapes afin de séparer les dépendances de build de l'environnement d'exécution final.
Des capacités supplémentaires couvrent la gestion des processus de conteneurs en utilisant des systèmes init légers pour gérer les signaux système et empêcher les processus zombies. Le projet inclut également des méthodes pour assurer la reproductibilité des builds via des images de base versionnées et des configurations réseau pour résoudre les échecs DNS sur les runtimes Linux et macOS hérités.
Features
- Container Image Building - Provides a comprehensive set of standards and templates for building secure and optimized production container images.
- Docker Image Building - Provides a comprehensive set of standards and templates for building secure, production-ready Docker images.
- Multi-Stage Container Builds - Provides structural patterns for multi-stage builds to reduce attack surface and final image size.
- Multi-Stage Build Pipelines - Ships curated multi-stage build templates that separate build-time dependencies from the final runtime environment.
- Image Optimization Standards - Establishes guidelines for pinning base images and structuring entrypoints to ensure efficient and reproducible OCI builds.
- Hardened Container Images - Provides patterns for creating pre-configured, secure container images designed for production environments.
- Non-Root Process Identities - Implements non-privileged user identities with static IDs to prevent host privilege escalation.
- Container Security Hardening - Hardens container security by restricting application privileges and implementing non-root execution.
- Reproducible Build Environments - Ensures consistent container builds by pinning base image versions and managing dependency updates.
- Base Image Pinning - Locks specific base image tags to ensure consistent builds and prevent breaking changes from upstream updates.
- OCI Container Process Management - Manages process lifecycles and signal propagation within OCI compliant container runtimes.
- Reproducible Build Systems - Ensures consistent and deterministic image builds across environments by pinning base image versions.
- Process Signal Forwarding - Implements mechanisms to propagate termination signals from the container init process to child processes.
- Container Init Process - Uses a lightweight init system as PID 1 to handle system signals and manage zombie processes.
