这篇文章主要介绍“dockerfile和镜像安全举例分析”，在日常操作中，相信很多人在dockerfile和镜像安全举例分析问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”dockerfile和镜像安全举例分析”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！
创新互联公司是一家以成都网站建设、网页设计、品牌设计、软件运维、网站推广、小程序App开发等移动开发为一体互联网公司。已累计为成都茶艺设计等众行业中小客户提供优质的互联网建站和软件开发服务。
避免不必要的安装包
一个容器一个进程
最小化layers的数量
排序多行参数
# Base images 基础镜像 FROM centos #MAINTAINER 维护者信息 MAINTAINER lorenwe #ENV 设置环境变量 ENV PATH /usr/local/nginx/sbin:$PATH #ADD 文件放在当前目录下，拷过去会自动解压 ADD nginx-1.13.7.tar.gz /tmp/ #RUN 执行以下命令 RUN rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7 \ && yum update -y \ && yum install -y vim less wget curl gcc automake autoconf libtool make gcc-c++ zlib zlib-devel openssl openssl-devel perl perl-devel pcre pcre-devel libxslt libxslt-devel \ && yum clean all \ && rm -rf /usr/local/src/* RUN useradd -s /sbin/nologin -M www #WORKDIR 相当于cd WORKDIR /tmp/nginx-1.13.7 RUN ./configure --prefix=/usr/local/nginx --user=www --group=www --with-http_ssl_module --with-pcre && make && make install RUN cd / && rm -rf /tmp/ COPY nginx.conf /usr/local/nginx/conf/ #EXPOSE 映射端口 EXPOSE 80 443 #ENTRYPOINT 运行以下命令 ENTRYPOINT ["nginx"] #CMD 运行以下命令 CMD ["-h"]
ENV 设置环境变量，简单点说就是设置这个能够帮助系统找到所需要运行的软件，比如我上面写的是 “ENV PATH /usr/local/nginx/sbin:$PATH”，这句话的意思就是告诉系统如果运行一个没有指定路径的程序时可以从 /usr/local/nginx/sbin 这个路径里面找，只有设置了这个，后面才可以直接使用 ngixn 命令来启动 nginx，不然的话系统会提示找不到应用。
ADD 用于添加文件，源文件可以是一个文件，或者是一个 URL 都行，如果源文件是一个压缩包，在构建镜像的时候会自动的把压缩包解压开来，示例写的是ADD nginx-1.13.7.tar.gz /tmp/其中 nginx-1.13.7.tar.gz 这个压缩包是必须要在 dockefile 文件目录内。
RUN 就是执行命令，RUN 可以执行多条命令， 用 && 隔开就行，如果命令太长要换行的话在末尾加上 ‘\’ 就可以换行命令， yum clean all ，把所有的 yum 缓存清掉，这可以减少构建出来的镜像大小，rm -rf /usr/local/src/清除用户源码文件，都是起到减少构建镜像大小的作用，每用一次 RUN 命令就会生成一层镜像。
当 ENTRYPOINT 和 CMD 都存在时 CMD 中的命令会以 ENTRYPOINT 中命令的参数形式来启动容器，例如上面的示例 dockerfile，在启动容器时会以命令为 nginx -h来启动容器，遗憾的是这样不能保持容器运行，所以可以这样启动 docker run -it lorenwe/centos_nginx -c /usr/local/nginx/conf/nginx.conf，那么容器启动时运行的命令就是 nginx -c /usr/local/nginx/conf/nginx.conf，可以自定义启动参数了。
如果一个服务不需要任何权限即可运行,可以使用USER指令改变为非Root用户,只需在Dockerfile中添加RUN指令 RUN groupadd -r postgres && useradd -r -g postgres postgres
VOLUME指令用于公开docker容器创建的数据库存储区域,配置,文件或者文件夹，建议使用VOLUME来维护用户服务可变的部分，即把可变的数据公开的外部存储。
Docker默认使用root用户运行容器。 然后将该名称空间映射到正在运行的容器中的root用户时，这意味着该容器可能对Docker主机具有root访问权限。 如果容器本身具有漏洞，则由root用户在容器上运行应用程序可以进一步扩大攻击面，并为特权升级提供简便的途径。 为了最大程度地减少曝光，请选择在Docker映像中为应用程序创建一个专用用户和一个专用组； 在Dockerfile中使用USER指令来确保容器以最小的特权访问来运行应用程序。 图像中可能不存在特定用户； 使用Dockerfile中的说明创建该用户
FROM ubuntu:latest RUN useradd -r -u 1001 -g appuser appuser USER appuser ENTRYPOINT [“sleep”, “infinity”]
FROM ubuntu RUN mkdir /app RUN groupadd -r lirantal && useradd -r -s /bin/false -g lirantal lirantal WORKDIR /app COPY . /app RUN chown -R lirantal:lirantal /app USER lirantal CMD node index.js
创建一个没有密码，没有设置主目录并且没有shell的系统用户（-r）
将创建的用户添加到先前创建的现有组中（使用groupadd）
与创建的组关联，将最终参数集添加到我们要创建的用户名中
Docker内容信任（DCT） 
Docker Content Trust（DCT）提供了使用数字签名处理发送到远程Docker注册表和从远程Docker注册表接收的数据的功能。这些签名允许客户端或运行时验证特定镜像标签的完整性和发布者。
如果使用者启用DCT，则他们只能使用受信任的镜像进行拉取，运行或构建。 启用DCT有点像对注册表应用“过滤器”。 消费者仅“看到”签名的镜像标签，而对他们而言“不可见”的是不太希望使用的未签名的镜像标签。
签名映像的前提条件是已连接公证服务器的Docker注册表（例如Docker Hub或Docker Trusted Registry）。在Docker CLI中，我们可以使用$ docker trust命令语法签署并推送容器映像。
将委托私钥添加到本地Docker信任库中。 （默认情况下，它存储在~/.docker/trust/中）。如果使用$ docker trust key generate生成委托密钥，则私钥会自动添加到本地信任存储中。如果要导入单独的密钥（例如，从UCP客户端捆绑包中导入），则需要使用$ docker trust key load命令。接下来，需要将委派公钥添加到Notary服务器。 这特定于公证人中称为全局唯一名称（GUN）的特定镜像仓库。 如果这是您第一次向该镜像仓库添加委派，则此命令还将使用本地Notary规范根密钥来启动存储库。
# 生成key $ docker trust key generate jeff # 或者使用已有的key $ docker trust key load key.pem --name jeff # 配置DCT的环境变量，启用DCT $ export DOCKER_CONTENT_TRUST=1 #对镜像打标签，从而可以将其推送到目标镜像库。本例中，会将其推送到位于我 Docker Hub 个人账户命名空间下的镜像库。 $ docker image tag alpine:latest nigelpoulton/dockerbook:v1 # 登录到 Docker Hub（或其他镜像库）以便推送镜像。 $ docker login # 使用push推送镜像 $ docker push dtr.example.com/admin/demo:1 # 查看标签或存储库的远程信任数据 $ docker trust inspect --pretty dtr.example.com/admin/demo:1
Docker Enterprise Engine中的Docker Content Trust阻止用户使用来自未知来源的容器映像，也将阻止用户从未知来源的基础层构建容器映像。 受信任的来源可能包括在Docker Hub上找到的Official Docker Images或用户受信任的来源，其中包含使用上述命令签名的存储库和标签。
引擎签名验证可防止以下情况：
docker容器运行的未签名或更改镜像。
docker 拉取未签名或更改的镜像。
docker build其中FROM镜像未签名或未擦除。
获取镜像时，通过配置 docker 守护进程/etc/docker/daemon.json配置获取可信来源的镜像。Docker CE 不支持
重庆分公司
重庆分公司
{
"content-trust": {
"trust-pinning": {
"official-library-images": true
},
"mode": "enforced"
}
}拉去镜像
$ docker pull dtr.example.com/user/image:1 Error: remote trust data does not exist for dtr.example.com/user/image: dtr.example.com does not have trust data for dtr.example.com/user/image $ docker pull dtr.example.com/user/image@sha256:d149ab53f8718e987c3a3024bb8aa0e2caadf6c0328f1d9d850b2a2a67f2819a sha256:ee7491c9c31db1ffb7673d91e9fac5d6354a89d0e97408567e09df069a1687c1: Pulling from user/image ff3a5c916c92: Pull complete a59a168caba3: Pull complete Digest: sha256:ee7491c9c31db1ffb7673d91e9fac5d6354a89d0e97408567e09df069a1687c1 Status: Downloaded newer image for dtr.example.com/user/image@sha256:ee7491c9c31db1ffb7673d91e9fac5d6354a89d0e97408567e09df069a1687c1
如果不是这样的话增加了镜像文件大小，增加了受攻击面。
一些开源的镜像扫描工具
Anchore Engine：Anchore Engine是用于分析容器镜像的工具。 除了基于CVE的安全漏洞报告之外，Anchore Engine还可以使用自定义策略评估Docker映像。策略基于白名单或黑名单、凭据、文件内容、配置类型或其他用户生成的提示。打包为Docker容器映像的Anchore可以独立运行，也可以在业务平台（例如Kubernetes）上运行。 它还可以与 CI/CD 的 Jenkins 和 GitLab 集成。
Clair：Clair 摄取了许多漏洞数据源，例如Debian Security Bug Tracker，Ubuntu CVE Tracker和Red Hat Security Data。 由于Clair使用了许多CVE数据库，因此其审核是全面的。Clair首先为容器映像中的特征列表建立索引。 然后，使用Clair API，开发人员可以在数据库中查询与特定图像有关的漏洞。。
dagda：a tool to perform static analysis of known vulnerabilities, trojans, viruses, malware & other malicious threats in docker images/containers and to monitor the docker daemon and running docker containers for detecting anomalous activities
OpenScap：一套自动审核工具，用于按照NIST认证的安全内容自动化协议（SCAP）来检查软件中的配置和已知漏洞。 不是特定用于容器的，但确实包含一定程度的支持。
介绍下 Clair 
安装过程：
$ mkdir $PWD/clair_config $ curl -L https://raw.githubusercontent.com/coreos/clair/master/config.yaml.sample -o $PWD/clair_config/config.yaml $ docker run -d -e POSTGRES_PASSWORD="password" -p 5432:5432 postgres:9.6 $ docker run --net=host -d -p 6060-6061:6060-6061 -v $PWD/clair_config:/config quay.io/coreos/clair:latest -config=/config/config.yaml
config.yaml的配置文件需要做下修改（对应行）
source: host=localhost port=5432 user=postgres password=password sslmode=disable statement_timeout=60000
测试部署成功
[root@localhost ~]# curl -X GET -I http://localhost:6061/health HTTP/1.1 200 OK Server: clair Date: Wed, 18 Mar 2020 13:32:33 GMT Content-Length: 0 [root@localhost ~]# curl http://localhost:6060/v1/namespaces ...
API 接口使用不方便，整合其他工具https://github.com/quay/clair/blob/master/Documentation/integrations.md
安装第三方客户端 claircli，执行扫描，本地生成 html 的报告。
