Как организовать безопасность контейнеров на базе Open Source

[vainkop]

Чем ваше решение лучше, чем https://github.com/aquasecurity/trivy-operator, который из коробки сканирует все крутящееся в кубере Trivy, генерирует sbom'ы и т.д.?

Для ArgoCD существует полезный extension https://github.com/mziyabo/argocd-trivy-extension

[TatianaKhurtina]

Дзен — одна из крупнейших контентных платформ в России со своим кастомным облаком. Нам нужно было не только провести с ним интеграцию, но и минимизировать импакт на производительность. Плюс у trivy-operator нет удобного интерфейса, как у dependecy-track)

[vainkop]

Сегодня столкнулся с "безопасностью" VK, при которой такая базовая вещь, как настройка ingress nginx + tcp load balancer с терминацией https на load balancer'е в документации описана, как "технически невозможно", но если покопаться, то вполне возможно и решается созданием контейнера и дополнительной аннотацией на service ingress controller'а.

https://cloud.vk.com/docs/kubernetes/k8s/how-to-guides/ingress/ingress-tcp#4_sozdayte_resurs_ingress

Далее будет продемонстрировано, как создать ресурс Ingress с терминированием SSL\TLS-сессий на Ingress-контроллере. Если вы планируете использовать HTTPS, терминирование сессий должно выполняться именно на контроллере, так как TCP-балансировщик нагрузки не имеет технической возможности терминировать SSL\TLS-сессии.

Создал вам issue в документацию с тем, какую аннотацию необходимо использовать https://github.com/vk-cs/docs-public/issues/144

[snzmonster]

Интересно, спасибо. Подскажите, пожалуйста, вы внесли свои доработки Dependency Track в официальный репозиторий проекта?

[TatianaKhurtina]

Спасибо за вопрос! Пока "лежим" в эту сторону, но понимаем важность поддержки Open Source в том числе нашими доработками)