als devops engineer wil ik simpel veilige reproduceerbare containers voor in CI #41

New Issue

Open

opened 2024-04-07 12:56:12 +00:00 by bart_terpstra · 0 comments

bart_terpstra commented

2024-04-07 12:56:12 +00:00

Member

van: https://trello.com/c/RTMSiPOz/37-als-devops-engineer-wil-ik-simpel-veilige-reproduceerbare-containers-voor-in-ci
zie ook: #12

manieren om te komen aan containers met de gewenste software:

kies een simpele container (bv alpine) en installeer de gewenste packages. dit is wat we nu veelal doen in CI. nadeel is ruis doordat installatie in CI stappen komt ipv dat deze ingebakken zit in de containers.
zoeken naar gepubliceerde containers met de gewenste software ingebakken. dit geeft wat additionele complexiteit, evenals dat dit een attack vector toevoegt gezien je zult moeten monitoren of je de externe container image vertrouwt, die al dan niet voldoende peer review vindt bij updates.
gebruik maken van een tool als nixery dat op transparante wijze container images met de gewenste software genereert.
- nixery zou tevens kunnen fungeren als opstapje richting nix voor het bouwen van containers voor onze eigen software.
- ik had nixery op woodpecker nog niet aan de praat kunnen krijgen, maar zij zeggen ook dat je dient te zelf-hosten, dus wellicht dat dit daaraan lag.

van: https://trello.com/c/RTMSiPOz/37-als-devops-engineer-wil-ik-simpel-veilige-reproduceerbare-containers-voor-in-ci zie ook: #12 manieren om te komen aan containers met de gewenste software: - kies een simpele container (bv alpine) en installeer de gewenste packages. dit is wat we nu veelal doen in CI. nadeel is ruis doordat installatie in CI stappen komt ipv dat deze ingebakken zit in de containers. - zoeken naar gepubliceerde containers met de gewenste software ingebakken. dit geeft wat additionele complexiteit, evenals dat dit een attack vector toevoegt gezien je zult moeten monitoren of je de externe container image vertrouwt, die al dan niet voldoende peer review vindt bij updates. - gebruik maken van een tool als [nixery](https://nixery.dev/) dat op transparante wijze container images met de gewenste software genereert. - nixery zou tevens kunnen fungeren als opstapje richting [nix](https://docs.google.com/presentation/d/1HJnjEKnty44zedwSfVrXJRqAFzbV4wvGym6IVpKAwhs/edit?usp=sharing) voor het bouwen van containers voor onze eigen software. - ik had nixery op woodpecker nog niet aan de praat kunnen krijgen, maar zij zeggen ook dat je dient te zelf-hosten, dus wellicht dat dit daaraan lag.