疫情爆發18個月，至今未歇，公司若要推行大計畫、增資、擴編，企業主會有許多顧慮。面臨現在的經濟不確定和旅行限制，是投入更多資金和資源的好時機嗎？等幾個月（或等到明年）再做這個決定會更好嗎？我的建議是...⬇️⬇️⬇️

ref: https://sysdig.com/blog/dockerfile-best-practices/

如果你常用到容器化、微服務架構，這些輕量化的架構當碰到問題時，背後的資安事件調查、報告、修復卻是影響甚鉅。然而，這些影響都可以透過「把安全意識擺在開發階段 (shifting left security)」來降低風險，而這篇文章就會講述 Dockerfile 的最佳實作手段有哪一些。

首先，我們會從幾個大面向來說明各種控制安全風險的細節，像是權限控管、降低攻擊層面、預防機敏資料洩漏，以及在發布 container image 時的注意事項。而你需要特別注意的是，其實 Dockerfile 也只是算是開發階段的一部份，所以這邊能提醒到的內容都屬於部署前（特別是開發階段）的準備。以下共提及 20 個你可以注意的重點，但因為篇幅較長，筆者將選出較重要的幾個來談談。

讓我們從「權限控管」說起：

Rootless container
根據報告結果顯示，有超過 58% 的 image 都是用 root 作為執行服務的使用者，所以在此也會建議透過 USER 參數來設定容器的預設使用者，同時，也可以利用執行環境/架構的設定來避免容器的預設使用者是 root。

Make executables owned by root and not writable
服務的 binary file 應該避免被任何人修改，容器的預設使用者只需要執行服務的權限，而不是擁有權。

至於「減少攻擊面」的部分：

Multistage builds小
在 image 的建立，可以透過 multistage build 來建立很多層 container，例如在第一層安裝編譯所需的套件，而第二層則只需安裝 runtime 所需的套件（如 openssl 等），再複製第一層所編譯出來的執行檔就可以了。其餘的因開發/編譯所安裝的套件皆不需要放在最後的 image，這樣同時也可以把 image 的大小縮小。

Distroless & Truested image
採用最小/最輕量化的 base image 來作為你打造 image 的基礎，同時使用可信任來源的 image，避免不小心在未知的情況引入好幾個潛在的安全威脅。（在原文中，sysdig 也使用了自身開發的工具來檢測 image 是否有安全問題，如果有需要也能參考看看）

而再來關於「機敏資訊」的部分：

Copy
當你在從你的開發環境複製檔案到 image 當中時，需要非常小心，因為你很可能一不小心就把你的密碼、開發環境的 token、API key 等資訊複製進去了。而且不要以為把 container 裡面的檔案刪掉就沒事了，別忘了 container image 是一層一層堆疊起來的，就算刪掉了，還是能在前面的 layer 裡面找到。

但如果還是有需要用到這些機敏資料，也可以考慮使用環境變數（docker run -e 引入），或是 Docker secret、Kubernetes secret 也能夠幫你引入這些參數。如果是設定檔的話，則可以用 mount 的方式來掛載到你的 container 裡面。

總而言之，你的 image 裡面不該有任何機敏資料、設定檔，開發服務時讓服務在 runtime 的時候可以接受來自環境變數的參數才是相對安全的。

其他的部分：

其實文章當中還有提到很多製作 image 的注意事項，像是在 deployment 階段，可能你部署的 latest 與實際的 latest 因時間差而不同。又或是在 image 裡面加上 health check，也才能做到狀況監測。

在容器化服務的時代，開發者不僅需要具備撰寫開發程式的能力，也要對於虛擬化環境有足夠的理解，否則，在對架構不熟的情況就將服務部署上去，或把 image 推送到公開的 registry，都可能造成重要的資料外洩與潛在的資安危機。

啊....甚是想念
有幸真的拉過百頭 是真的挺累的
但你說有沒有比GT累
沒有 27斤的小GT就把我幹倒在船頭了XD
船拋博魚就完全不像池釣那麼單純
全野生的環境變數太多
也因為中魚機會稀少 心理的緊張程度極高
保持全身肌肉緊繃的狀態10幾分鐘
就算只是拿著竿子 就喘到不行...
-
也是在那一趟之後明顯知道自己的不足
這種體型的GT拉成這樣
以後要怎麼四處征戰!
到現在兩年了 增重約10公斤
船拋次數也上升到雙位數(機會不多QQ)
希望下一次野場見面時
我跟魚都可以不要那麼累
（拉太久其實對魚也很傷X_X）

#軟體工程師
👍歡迎訂閱!! 🔔🔔按下小鈴鐺，就可以一有新影片就搶先看！
[軟體工程師雜談]來寫寫你的第一支程式Hello World吧，安裝JDK環境IDE? NONONO | IT鐵人賽: 從零開始搞懂寫程式，資工系4年最重要的學科，資料結構，演算法，物件導向

寫個Hello world還要安裝一堆東西
太累啦!!!
來~~最懶人包的方法，8分鐘寫5種程式語言(C, C++, Java, python, kotlin)的Hello world

IT鐵人賽網址:https://ithelp.ithome.com.tw/users/20128489/ironman/3093


紫楓FB專頁: https://www.facebook.com/tbpfs2/
紫楓blog: https://tbpfs1.blogspot.com/
斗內專線: https://pse.is/KUYMP

影片說明：
健策精密（3653）今年以來在全球肺炎疫情蔓延襲擊下，包括伺服器晶片均熱片、CPU晶片扣件等主力產品出貨仍然成長，累計前5個月營收年增3成以上。展望下半年，健策總經理趙永昌指出，受到疫情影響，整個大環境變數還是很多，公司謹慎看待。但是各產品線、各客戶有消有長，預期下半年應該至少有機會跟上半年差不多。推估健策今年度的營收，還是有機會維持成長走勢。

相關個股：健策(3653.TW)
相關產業：散熱模組

更多影片內容可上MoneyDJ瀏覽 https://tv.moneydj.com/tv/

完整個股資訊可下載 https://reurl.cc/aroG77

DSE血淚史終於要回歸啦！！！這段時間內一直都未有時間更新實在好抱歉～2020年考生面對咁多環境變數，相信呢刻一定好徬徨。既然臨近DSE又趁住我比較得閒，就盡綿力（超綿）幫下大家，拍片分享下吧～

今集同大家分享記敘文嘅拿分要訣，希望俾到一丁點新ideas大家。接下來呢個月，會陸陸續續上載更多DSE系列影片！大家記住訂閱追蹤喇～～～

➘ WHO AM I ?
我係一位2019 DSE考生～平日係IG上分享音樂?
現就讀於香港大學內外全科醫學士（MBBS）
希望用我個人經歷同大家分享一下讀書心得～

✨ CONNECT WITH ME✨
【Instagram】https://www.instagram.com/pamsmusic/
(@pamsmusic)
【Facebook Page】Pamsmusic
【Snapchat】@pamelachiu
【SUBSCRIBE !!】https://www.youtube.com/subscription_...

➘ F A Q
✐ How old are you？19
✐ Camera？ Canon m50
✐ Editing？ Final Cut Pro X

#DSE #中文 #DSE血淚史