Tere, Habr!

Kaasaegses reaalsuses, arvestades konteinerimise kasvavat rolli arendusprotsessides, ei tohi alahinnata küsimust, kuidas tagada erinevate etappide ja konteineritega seotud elementide turvalisust. Käsitsi kontrollide teostamine on aeganõudev tegevus, seetõttu oleks hea alustada vähemalt esialgsete sammude astumist selle protsessi automatiseerimiseks.

Selles artiklis jagan valmis skripte mitmete Docker'i turvaarendustooteside juurutamiseks ning juhiseid selle protsessi demonstreerimiseks väikese demo-standi loomisel. Need materjalid on kasutatavad katsetamiseks, kuidas korraldada turvatestide protsessi Docker'i piltide ja Dockerfile'i juhiste jaoks. On selge, et arenduse ja juurutamise infrastruktuur on kõigil erinev, seega toon allpool välja mitmeid võimalikke variante.

Turvaproovide tööriistad

On olemas suur hulk erinevaid abirakendusi ja skripte, mis teostavad kontrolli erinevate aspektide üle Docker'i infrastruktuuris. Osad neist on juba eelnevas artiklis kirjeldatud (https://habr.com/ru/company/swordfish_security/blog/518758/#docker-security), ja käesolevas materjalis tahaksin peatuda kolmel neist, mis katavad suure osa Docker-piltide turvanõuetest, mis arenduse käigus luuakse. Lisaks näitan ka näidet, kuidas neid kolme tööriista ühendada ühte pipeline’i turvakontrollide teostamiseks.

Hadolint
https://github.com/hadolint/hadolint

Suhteliselt lihtne konsoolitööriist, mis aitab esialgsel hindamisel hinnata Dockerfile’i käskude korrektsust ja turvalisust (näiteks lubatud piltide registrite kasutamine või sudo kasutamine).

Dockle
https://github.com/goodwithtech/dockle

Konsoliline tööriist, mis töötab pildiga (või salvestatud tarnarkiviga pildist), kontrollides konkreetse pildi korrektsust ja turvalisust, analüüsides selle kihte ja konfiguratsiooni – millised kasutajad on loodud, milliseid käske on kasutatud, millised mahtudeühendused on olemas, tühi parool jne. Praegu on kontrollide arv mitte väga suur ja põhineb mitmetel omal tehtud kontrollidel ja soovitustel. CIS (Center for Internet Security) Benchmark Dockerile.


Trivy
https://github.com/aquasecurity/trivy

See rakendust on suunatud kahe tüübi haavatavuste leidmisele – operatsioonisüsteemi (toetatakse Alpine, RedHat (EL), CentOS, Debian GNU, Ubuntu) kogumiprobleemide ja sõltuvuste probleemide (Gemfile.lock, Pipfile.lock, composer.lock, package-lock.json, yarn.lock, Cargo.lock) tuvastamisele. Trivy oskab skaneerida nii repositooriumis olevat pilti kui ka kohalikku pilti ning teostada skaneerimist vastavalt edastatud .tar failile Docker-pildiga.

Tööriistade rakendamise variandid

Kuna soovite kirjeldatud rakendusi isoleeritud tingimustes proovida, toon ma välja juhised, kuidas kõiki tööriistu installida mõningate lihtsustatud protsesside raames.

Peamine idee on demonstreerida, kuidas saab automatiseerida Dockerfile ja arenguprotsessi käigus loodud Docker-piltide sisu kontrollimist.

Kontroll koosneb järgmistest sammudest:

1. Dockerfile'i käskude kehtivuse ja turvalisuse kontrollimine - utiliidiga linters Hadolint
2. Lõpupiltide ja vahepealsete piltide kehtivuse ja turvalisuse kontrollimine - utiliidiga Dockle
3. Avalikult tuntud haavatavuste (CVE) olemasolu kontrollimine baaspildis ja mitmes sõltuvuses - utiliidiga Trivy

Edasiartiklis toon ma välja kolm varianti nende sammude rakendamiseks:
Esimene — konfiguratsiooni CI/CD pipelines kaudu GitLabis (testkeskkonna seadistamise protsessi kirjeldus).
Teine — shell-skripti abil.
Kolmas — Docker-image'i loomisega Docker-image'ide skaneerimiseks.
Saate valida variandi, mis teile kõige paremini sobib, viia selle oma infrastruktuurile ja kohandada vastavalt oma vajadustele.

Kõik vajalikud failid ja lisajuhised on samuti repo-s: https://github.com/Swordfish-Security/docker_cicd

Integratsioon GitLab CI/CD-sse

Esimeses variandis vaatleme, kuidas saab turvamist kontrollida GitLabi repode süsteemi näitel. Siin läheme samm-sammult ja selgitame, kuidas nullist testkeskkonda GitLabiga luua, koostada skaneerimisprotsessi ja käivitada utiliite test Dockerfile'i ja juhusliku pildi — rakenduse JuiceShop jaoks kontrollimiseks.

GitLabi paigaldamine
1. Paigaldame Docker:

sudo apt-get update && sudo apt-get install docker.io

2. Lisame praeguse kasutaja docker-gruppi, et saaks dokkeriga töötada ilma sudo-ta:

sudo addgroup  docker

3. Leiame oma IP:

ip addr

4. Paigaldame ja käivitame GitLabi konteineris, asendades hostname'is IP-aadress oma omaga:

docker run --detach 
--hostname 192.168.1.112 
--publish 443:443 --publish 80:80 
--name gitlab 
--restart always 
--volume /srv/gitlab/config:/etc/gitlab 
--volume /srv/gitlab/logs:/var/log/gitlab 
--volume /srv/gitlab/data:/var/opt/gitlab 
gitlab/gitlab-ce:latest

Ootame, kuni GitLab täidab kõik vajalikud paigaldusprotseduurid (protsessi saab jälgida logifaili väljundi kaudu: docker logs -f gitlab).

5. Ava oma brauseris oma kohalik IP ja näed lehte, mis pakub muuta root kasutaja parooli:

Sea uus parool ja logi sisse GitLabi.

6. Loo uus projekt, näiteks cicd-test ja initsialiseerimine algfailiga. README.md:

7. Nüüd peame paigaldama GitLab Runner'i: agendi, mis käivitab kõik vajalikud toimingud soovi korral.
Laadi alla viimase versiooni (antud juhul — Linux 64-bit jaoks):

sudo curl -L --output /usr/local/bin/gitlab-runner https://gitlab-runner-downloads.s3.amazonaws.com/latest/binaries/gitlab-runner-linux-amd64

8. Muuda see täidetavaks:

sudo chmod +x /usr/local/bin/gitlab-runner

9. Lisa operatsioonisüsteemi kasutaja Runner'ile ja käivita teenus:

sudo useradd --comment 'GitLab Runner' --create-home gitlab-runner --shell /bin/bash
sudo gitlab-runner install --user=gitlab-runner --working-directory=/home/gitlab-runner
sudo gitlab-runner start

Peaks välja nägema umbes nii:

local@osboxes:~$ sudo gitlab-runner install --user=gitlab-runner --working-directory=/home/gitlab-runner
Runtime platform arch=amd64 os=linux pid=8438 revision=0e5417a3 version=12.0.1
local@osboxes:~$ sudo gitlab-runner start
Runtime platform arch=amd64 os=linux pid=8518 revision=0e5417a3 version=12.0.1

10. Nüüd registreerime Runneri, et see saaks meie GitLabi instantsiga suhelda.
Selleks avame lehe Settings-CI/CD (http://OUR_IP_ADDRESS/root/cicd-test/-/settings/ci_cd) ja Runners vahekaardilt leiame URL-i ja registreerimisvõti:

11. Registreerime Runneri, sisestades URL-i ja registreerimisvõti:

sudo gitlab-runner register 
--non-interactive 
--url "http:///" 
--registration-token "" 
--executor "docker" 
--docker-privileged 
--docker-image alpine:latest 
--description "docker-runner" 
--tag-list "docker,privileged" 
--run-untagged="true" 
--locked="false" 
--access-level="not_protected"

Lõpuks saame toimiva GitLabi, kuhu tuleb lisada juhised meie utiliitide käivitamiseks. Antud demo puhul ei ole meil rakenduse ehitamise ja konteinerimise samme, kuid tegelikus keskkonnas eelnevad need skaneerimise sammudele ja loovad analüüsi jaoks pildid ja Dockerfile.

Pipeline'i konfiguratsioon

1. Lisame repository'sse failid mydockerfile.df (see on test Dockerfile, mida me kontrollime) ja GitLabi CI/CD protsessi konfiguratsioonifaili .gitlab-cicd.yml, mis postitab skanneritele juhiseid (pange tähele faili nime punkti).

YAML-konfiguratsiooni fail sisaldab juhiseid kolme tööriista (Hadolint, Dockle ja Trivy) käivitamiseks, mis analüüsivad valitud Dockerfile'i ja pilti, mille määrab muutuja DOCKERFILE. Kõik vajalikud failid on saadaval repo-st: https://github.com/Swordfish-Security/docker_cicd/

Tsiteeritud mydockerfile.df (see on abstraktne fail, mis sisaldab juhiseid ainult utiliidi toimimise demonstreerimiseks). Otsene link failile: mydockerfile.df

mydockerfile.df sisu

FROM amd64/node:10.16.0-alpine@sha256:f59303fb3248e5d992586c76cc83e1d3700f641cbcd7c0067bc7ad5bb2e5b489 AS tsbuild
COPY package.json .
COPY yarn.lock .
RUN yarn install
COPY lib lib
COPY tsconfig.json tsconfig.json
COPY tsconfig.app.json tsconfig.app.json
RUN yarn build
FROM amd64/ubuntu:18.04@sha256:eb70667a801686f914408558660da753cde27192cd036148e58258819b927395
LABEL maintainer="Rhys Arkins "
LABEL name="renovate"
...
COPY php.ini /usr/local/etc/php/php.ini
RUN cp -a /tmp/piik/* /var/www/html/
RUN rm -rf /tmp/piwik
RUN chown -R www-data /var/www/html
ADD piwik-cli-setup /piwik-cli-setup
ADD reset.php /var/www/html/
## ENTRYPOINT ##
ADD entrypoint.sh /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]
USER root

YAML-konfiguratsioon näeb välja selline (faili saab otse siit): .gitlab-ci.yml):

.gitlab-ci.yml sisu

muutujad:
    DOCKER_HOST: "tcp://docker:2375/"
    DOCKERFILE: "mydockerfile.df" # Dockerfile nimi, mida analüüsida
    DOCKERIMAGE: "bkimminich/juice-shop" # Dockeri pildi nimi, mida analüüsida
    # DOCKERIMAGE: "knqyf263/cve-2018-11235" # test Docker pilt, millel on mitu KRIITILIST CVE
    SHOWSTOPPER_PRIORITY: "CRITICAL" # milline kriitilisuse tase viib Trivy töö nurjumiseni
    TRIVYCACHE: "$CI_PROJECT_DIR/.cache" # koht, kus salvestada Trivy haavatavuste andmebaas kiireks uuesti kasutamiseks
    ARTIFACT_FOLDER: "$CI_PROJECT_DIR"
 
teenused:
    - docker:dind # et ehitada Dockeri pilte Runneris
 
staged:
    - skaneerimine
    - aruanne
    - avaldamine
 
HadoLint:
    # Aluslintimine Dockerfile'i juhiseid
    etapp: skaneerimine
    pilt: docker:git
 
    pärast_skripti:
    - cat $ARTIFACT_FOLDER/hadolint_results.json
 
    skript:
    - eksport VERSION=$(wget -q -O - https://api.github.com/repos/hadolint/hadolint/releases/latest | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*/1/')
    - wget https://github.com/hadolint/hadolint/releases/download/v${VERSION}/hadolint-Linux-x86_64 && chmod +x hadolint-Linux-x86_64
     
    # NB: hadolint väljub alati 0 väljumiskoodiga
    - ./hadolint-Linux-x86_64 -f json $DOCKERFILE > $ARTIFACT_FOLDER/hadolint_results.json || exit 0
 
    artefaktid:
        kui: alati # tagasta artefaktid isegi pärast töö tõrget
        teed:
        - $ARTIFACT_FOLDER/hadolint_results.json
 
Dockle:
    # Parimate praktikate analüüsimine Dockeri pildi kohta (kasutajaõigused, juhised, mida järgiti pilti luues jne)
    etapp: skaneerimine
    pilt: docker:git
 
    pärast_skripti:
    - cat $ARTIFACT_FOLDER/dockle_results.json
 
    skript:
    - eksport VERSION=$(wget -q -O - https://api.github.com/repos/goodwithtech/dockle/releases/latest | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*/1/')
    - wget https://github.com/goodwithtech/dockle/releases/download/v${VERSION}/dockle_${VERSION}_Linux-64bit.tar.gz && tar zxf dockle_${VERSION}_Linux-64bit.tar.gz
    - ./dockle --exit-code 1 -f json --output $ARTIFACT_FOLDER/dockle_results.json $DOCKERIMAGE
     
    artefaktid:
        kui: alati # tagasta artefaktid isegi pärast töö tõrget
        teed:
        - $ARTIFACT_FOLDER/dockle_results.json
 
Trivy:
    # Dockeri pildi ja pakettide sõltuvuste analüüsimine mitmete CVE andmebaaside vastu
    etapp: skaneerimine
    pilt: docker:git
 
    skript:
    # uusima Trivy saamine
    - apk add rpm
    - eksport VERSION=$(wget -q -O - https://api.github.com/repos/knqyf263/trivy/releases/latest | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*/1/')
    - wget https://github.com/knqyf263/trivy/releases/download/v${VERSION}/trivy_${VERSION}_Linux-64bit.tar.gz && tar zxf trivy_${VERSION}_Linux-64bit.tar.gz
     
    # kõigi haavatavuste kuvamine ehitamist nurjumata
    - ./trivy -d --cache-dir $TRIVYCACHE -f json -o $ARTIFACT_FOLDER/trivy_results.json --exit-code 0 $DOCKERIMAGE
    
    # kirjutage haavatavuste info stdouti loetaval kujul (puhas json lugemine ei ole lõbus, eks?). Selle võite eemaldada, kui te seda ei vaja.
    - ./trivy -d --cache-dir $TRIVYCACHE --exit-code 0 $DOCKERIMAGE
 
    # ehituse nurjumine, kui leitud SHOWSTOPPER prioriteet
    - ./trivy -d --cache-dir $TRIVYCACHE --exit-code 1 --severity $SHOWSTOPPER_PRIORITY --quiet $DOCKERIMAGE
         
    artefaktid:
        kui: alati # tagasta artefaktid isegi pärast töö tõrget
        teed:
        - $ARTIFACT_FOLDER/trivy_results.json
 
    vahetamine:
        teed:
        - .cache
 
Aruanne:
    # tööriistade väljundite ühendamine ühte HTML-sse
    etapp: aruanne
    kui: alati
    pilt: python:3.5
     
    skript:
    - mkdir json
    - cp $ARTIFACT_FOLDER/*.json ./json/
    - pip install json2html
    - wget https://raw.githubusercontent.com/shad0wrunner/docker_cicd/master/convert_json_results.py
    - python ./convert_json_results.py
     
    artefaktid:
        teed:
        - results.html

Juhul, kui on vajalik, on samuti võimalik skaneerida ja salvestada pilte .tar-arhiivina (kuid YAML-failis tuleb muuta sisendparameetreid utiliitide jaoks)

NB: Trivy nõuab oma käivitamiseks paigaldatud rpm ja git. Vastasel juhul annab see skaneerimisel RedHat-põhiste piltide ja haavatavuste aluse värskenduste saamisel vigade teateid.

2. Pärast failide lisamist reposse, vastavalt meie konfigureerimisfaili juhistele, alustab GitLab automaatselt koostamise ja skaneerimise protsessi. CI/CD → Pipelines vahekaardil on näha juhiste täitmise edenemist.

Kokku on meil neli ülesannet. Kolm neist tegelevad otse skaneerimisega ja viimane (Raport) kogub lihtsa aruande skaneerimistulemustest koosnevate erinevate failide põhjal.

Vaikimisi lõpetab Trivy oma täitmise, kui pildis või sõltuvustes leiti CRITICAL haavatavusi. Samal ajal tagastab Hadolint siiski alati Success täitmisnumbri, kuna selle täitmise tulemusel on alati märkmeid, mis toob kaasa koostamise peatamise.

Sõltuvalt konkreetsetest nõuetest saab väljundkoodi konfigureerida nii, et need tööriistad peatavad ka koostamisprotsessi, kui nad tuvastavad teatud kriitilisuse probleemid. Meie puhul peatub koostamine ainult siis, kui Trivy tuvastab haavatavuse kriitilisuse, mille oleme määranud muutuja SHOWSTOPPER kaudu. .gitlab-ci.yml.


Iga tööriista töö tulemust saab vaadata iga skaneerimise ülesande logis, otse json-failides sektsioonis artifacts või lihtsas HTML-aruandes (sellest räägin veidi hiljem):


3. Tööriistade aruannete esitlemiseks veidi arusaadavamal kujul kasutatakse väikest Python'i skripti, et teisendada kolm json-faili üheks HTML-failiks vigade tabeliga.
Seda skripti käitatakse eraldi ülesandena nimega Report, ja selle lõplikuks artefaktiks on HTML-fail aruandega. Skripti lähtekood on samuti hoidlas ja seda saab kohandada vastavalt oma vajadustele, värvidele jne.

Shell-skript

Teine variant sobib juhtudeks, kui on vajalik Docker-piltide kontrollimine mitte CI/CD süsteemi raamistikus või on vaja kõiki juhiseid vormingus, mida saab otse hostis täita. See variant katab valmis shell-skripti, mida saab käivitada puhtal virtuaalmasinal (või isegi reaalses seadmes). Skript täidab samu juhiseid, mis on eelnevalt kirjeldatud gitlab-runneris.

Skripti nõuetekohaseks tööks peab süsteemis olema installitud Docker ja praegune kasutaja peab olema docker grupis.

Selle skripti saab siit: docker_sec_check.sh

Faili alguses määratakse muutujaid, millist pilti tuleb skaneerida ja millise kriitilisusega defektid põhjustavad Trivy utiliidist väljumise kindlaksmääratud veakoodiga.

Skripti täitmise käigus laaditakse kõik utiliidid alla kausta docker_tools, nende töö tulemused salvestatakse kausta docker_tools/json, ja HTML-aruande fail asub failis results.html.

Skripti väljund näide

~/docker_cicd$ ./docker_sec_check.sh

[+] Keskkonnamuutujate seadistamine
[+] Nõutavate pakettide installimine
[+] Vajalikud kataloogid ette valmistamine
[+] Näidis Dockerfile'i allalaadimine
2020-10-20 10:40:00 (45.3 MB/s) - ‘Dockerfile’ salvestatud [8071/8071]
[+] Pildi allalaadimine skaneerimiseks
latest: Laadimine bkimminich/juice-shop
[+] Hadolinti käitamine
...
Dockerfile:205 DL3015 Vältige lisapakette, määrates `--no-install-recommends`
Dockerfile:248 DL3002 Viimane KASUTAJA ei tohi olla root
...
[+] Dockle'i käitamine
...
WARN    - DKL-DI-0006: Vältige latest sildid
        * Vältige 'latest' silti
INFO    - CIS-DI-0005: Aktiveerige Dockerile sisu usaldus
        * eksportige DOCKER_CONTENT_TRUST=1 enne docker pull/build
...
[+] Trivy käitamine
juice-shop/frontend/package-lock.json
=====================================
Kokku: 3 (TUNNENEMATA: 0, MADAL: 1, MADAL: 0, KÕRGE: 2, KRIITILINE: 0)

+---------------------+------------------+----------+---------+-------------------------+
|       RAAMAT       | AVALDUB ID       | TÕSIDUS  | VERSIOON |             TIITEL     |
+---------------------+------------------+----------+---------+-------------------------+
| object-path         | CVE-2020-15256   | KÕRGE    | 0.11.4  | Prototiipi saastumise  |
|                     |                  |          |         | object-path             |
+---------------------+------------------+          +---------+-------------------------+
| tree-kill           | CVE-2019-15599   |          | 1.2.2   | Koodisisestamine       |
+---------------------+------------------+----------+---------+-------------------------+
| webpack-subresource | CVE-2020-15262   | MADAL    | 1.4.1   | Kaitsmata dünaamiliselt|
|                     |                  |          |         | laaditud fragmendid     |
+---------------------+------------------+----------+---------+-------------------------+

juice-shop/package-lock.json
============================
Kokku: 20 (TUNNENEMATA: 0, MADAL: 1, MADAL: 6, KÕRGE: 8, KRIITILINE: 5)

...

juice-shop/package-lock.json
============================
Kokku: 5 (KRIITILINE: 5)

...
[+] Jäänuste eemaldamine
[+] Väljundi ilusaks seadmine
[+] JSON tulemuste konverteerimine
[+] Tulemuste HTML kirjutamine
[+] Puhas väljund ============================================================
[+] Kõik on tehtud. Leiate tulemuse HTML aruande failist results.html

Docker-pilt koos kõikide utiliididega

Kolmanda alternatiivina koostasin kaks lihtsat Dockerfile'i turvautiliitide koosseisu loomiseks. Üks Dockerfile aitab luua komplekti pildi skannimiseks repolt, teine (Dockerfile_tar) — luua komplekti tar-faili skannimiseks koos pildiga.

1. Võtame sobiva Docker faili ja skriptid repolt https://github.com/Swordfish-Security/docker_cicd/tree/master/Dockerfile.
2. Käivitame selle koostamiseks:

docker build -t dscan:image -f docker_security.df .

3. Pärast koostamise lõppu loome konteineri pildist. Samuti edastame keskkonnamuutuja DOCKERIMAGE huvitava pildi nimega ja monteerime Dockerfile'i, mida soovime analüüsida, oma masinast faili /Dockerfile (pane tähele, et vajalik on absoluutne tee sellele failile):

docker run --rm -v $(pwd)/results:/results -v $(pwd)/docker_security.df:/Dockerfile -e DOCKERIMAGE="bkimminich/juice-shop" dscan:image

[+] Keskkonnamuutujate seadmine
[+] Hadolinti käivitamine
/Dockerfile:3 DL3006 Always tag the version of an image explicitly
[+] Dockle'i käivitamine
WARN    - DKL-DI-0006: Vältige 'latest' sildi kasutamist
        * Vältige 'latest' silti
INFO    - CIS-DI-0005: Lubage Dockerile sisu usaldus
        * eksportige DOCKER_CONTENT_TRUST=1 enne docker pull/buildi
INFO    - CIS-DI-0006: Lisage konteineripildile HEALTHCHECK juhis
        * HEALTHCHECK lause ei leitud
INFO    - DKL-LI-0003: Lisage ainult vajalikud failid
        * mittevajaliku faili: juice-shop/node_modules/sqlite3/Dockerfile
        * mittevajaliku faili: juice-shop/node_modules/sqlite3/tools/docker/architecture/linux-arm64/Dockerfile
        * mittevajaliku faili: juice-shop/node_modules/sqlite3/tools/docker/architecture/linux-arm/Dockerfile
[+] Trivy käivitamine
...
juice-shop/package-lock.json
============================
Kokku: 20 (UNKNOWN: 0, LOW: 1, MEDIUM: 6, HIGH: 8, CRITICAL: 5)
...
[+] Väljundi ilusaks muutmine
[+] Peamise mooduli käivitamine ============================================================
[+] JSON tulemuste konverteerimine
[+] Tulemuste HTML kirjutamine
[+] Puhas väljumine ============================================================
[+] Kõik on valmis. Leidke tulemuste HTML aruanne failist results.html

Tulemused

Oleme käsitlenud vaid ühte põhikomplekti Docker artefaktide skaneerimise tööriistu, mis minu arvates katab tõhusalt suure osa pildihalduse turvanõuetest. On veel palju nii tasulisi kui ka tasuta tööriistu, mis võivad teha samu kontrolle, genereerida ilusaid aruandeid või töötada puhtalt konsoolirežiimis, katab konteinerihalduse süsteeme jne. Ülevaade nendest tööriistadest ja nende integreerimise viisidest ilmub võib-olla hiljem.

Artiklis kirjeldatud tööriistade komplekti positiivne külg on see, et kõik need on ehitatud avatud lähtekoodiga, mistõttu saate nendega ja teiste sarnaste tööriistadega katsetada, et leida just need, mis sobivad teie nõudmiste ja infrastruktuuri eripära jaoks. Ilmselt tuleb kõik leitud haavatavused uurida, et hinnata nende rakendatavust konkreetsetes tingimustes, kuid see on teema tulevasteks suuremateks artikliteks.

Loodan, et see juhend, skriptid ja utiliidid aitavad teid ning saavad lähtepunktiks turvalisema infrastruktuuri loomisel konteineriseerimise valdkonnas.

Allikas: habr.com