Улучшаем безопасность ваших CI/CD через Shared Docker executor и OPA-плагин

[Mexico1821]

Знаком с Пашей! Классно, что вклад в работу настолько заметен.
Спасибо Владимиру за приведенные примеры!

[slonopotamus]

Основная проблема Docker заключается в том, что он пробрасывает свой API socket в джобу

Эээ... Но ведь нет. И ложность этого утверждения умножает на ноль смысл всего последующего текста.

Но если всё-таки душа просит именно Docker...

... то может быть она это как-то аргументирует или пойдёт нафиг со своими запросами?

[valery1707]

Но если всё-таки душа просит именно Docker...
... то может быть она это как-то аргументирует или пойдёт нафиг со своими запросами?

Мы планируем при сборке гонять тесты требующие подъёма зависимостей - для этого нужно чтобы каждый сборщик мог запустить свой набор контейнеров.

[ugenk]

А чем dind не подошел?

[slonopotamus]

dind - это обман. Контейнеры не могут быть вложенными из-за ограничений на уровне ядра.

[slonopotamus]

services?

[Negativelink]

Когда-то давно в моей практике был случай, когда небезопасный докер-контейнер в инфраструктуре привел к крупному взлому. Собственно, я занимался уже разбором последствий. Неправильно приготовленные контейнеры это опасность.

Хорошая статья.

[ml_or_lm]

Помню как года 3-4 назад для большинства это был темный лес с точки зрения безопасности.

[romannik007]

Isolate containers with a user namespace не слышали?