La seguretat d'imatges és un aspecte crític en l'ús de Kubernetes, ja que les imatges de contenidors poden ser un vector d'atac si no es gestionen adequadament. Aquest tema cobreix les millors pràctiques per assegurar les imatges de contenidors, incloent la creació, l'escaneig, la signatura i la gestió d'imatges.

1. Imatges de Contenidors: Fitxers que contenen tot el necessari per executar una aplicació, incloent el codi, les biblioteques, les variables d'entorn i els fitxers de configuració.
2. Registre d'Imatges: Un servei per emmagatzemar i distribuir imatges de contenidors. Exemples inclouen Docker Hub, Google Container Registry (GCR) i Amazon Elastic Container Registry (ECR).
3. Escaneig d'Imatges: El procés d'analitzar imatges de contenidors per detectar vulnerabilitats de seguretat.
4. Signatura d'Imatges: Un mètode per garantir la integritat i l'autenticitat d'una imatge de contenidor.

• Descarregar Imatges Oficials: Sempre que sigui possible, utilitza imatges oficials dels registres de confiança com Docker Hub.
• Verificar la Font: Assegura't que les imatges provenen de fonts verificades i de confiança.

• Eines d'Escaneig: Utilitza eines com Trivy, Clair o Anchore per escanejar les imatges de contenidors per a vulnerabilitats conegudes.
• Automatització: Integra l'escaneig d'imatges en el teu pipeline de CI/CD per assegurar que totes les imatges es revisen abans de ser desplegades.

• Docker Content Trust (DCT): Utilitza DCT per signar i verificar imatges de contenidors. Això garanteix que les imatges no han estat manipulades.
• Notary: Una altra eina per signar i verificar imatges de contenidors.

• Imatges Lleugeres: Utilitza imatges base lleugeres com Alpine Linux per reduir la superfície d'atac.
• Eliminar Components Innecessaris: Assegura't que les imatges només contenen els components necessaris per executar l'aplicació.

• No Incloure Secrets: No incloguis secrets com claus API o contrasenyes dins de les imatges de contenidors.
• Utilitzar Kubernetes Secrets: Emmagatzema i gestiona secrets utilitzant Kubernetes Secrets.

A continuació, es mostra un exemple de com escanejar una imatge de contenidor utilitzant Trivy.

Escanejar una imatge de contenidor personalitzada per detectar vulnerabilitats i aplicar les millors pràctiques de seguretat.

1. Crear una Imatge Personalitzada:

   • Escriu un Dockerfile per a una aplicació simple.
   • Construeix la imatge utilitzant docker build.

2. Escanejar la Imatge:

   • Utilitza Trivy per escanejar la imatge creada.

3. Aplicar Millores:

   • Identifica les vulnerabilitats i actualitza el Dockerfile per solucionar-les.
   • Torna a construir i escanejar la imatge fins que no hi hagi vulnerabilitats crítiques.

Dockerfile Inicial

Escaneig Inicial

Millores Aplicades

• Canviar la imatge base a una versió més lleugera com Alpine.
• Actualitzar les dependències a versions més segures.

Dockerfile Millorat

Escaneig Final

La seguretat d'imatges és essencial per protegir les aplicacions desplegades en Kubernetes. Seguint les millors pràctiques com utilitzar imatges de confiança, escanejar per vulnerabilitats, signar imatges i minimitzar la superfície d'atac, pots assegurar que les teves imatges de contenidors són segures i fiables.