Sécurité des conteneurs (Docker/Kubernetes)
Mettez en œuvre des pratiques sécurisées pour créer, déployer et gérer des applications conteneurisées avec Docker et Kubernetes, notamment l’analyse des images et les politiques réseau.
Sécurité des conteneurs (Docker/Kubernetes) est une leçon Secure Coding & OWASP Top 10 for Backend gratuite sur CoddyKit. Ceci est la leçon 2 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage Secure Coding & OWASP Top 10 for Backend, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours Secure Coding & OWASP Top 10 for Backend comprend 4 leçons au total.
Certaines parties de cette leçon n'ont pas encore été traduites et s'affichent en anglais.
Introduction to Container Security
Welcome to Container Security! Here, we'll explore how to protect your applications when they run inside containers like Docker and are orchestrated by systems like Kubernetes.
Containers offer great flexibility and efficiency, but they also introduce new security challenges that need careful attention.
Minimize Container Images
Smaller container images mean less attack surface. Remove unnecessary tools, libraries, and files from your final image.
Using multi-stage builds and minimal base images (like Alpine Linux variants) are excellent strategies.
FROM openjdk:17-jdk-slim AS builder
WORKDIR /app
COPY . .
RUN javac Main.java
FROM openjdk:17-jre-slim
WORKDIR /app
COPY --from=builder /app/Main.class .
CMD ["java", "Main"]Use Trusted Base Images
Always start with official and well-maintained base images from trusted registries. Unofficial images might contain vulnerabilities or even malicious code.
- Verify sources: Only pull images from reputable vendors or official repositories.
- Scan regularly: Even official images can have vulnerabilities; scan them often.
Principle of Least Privilege
Run your containers with the minimum necessary permissions. This limits the damage if a container is compromised.
- Run as non-root: Avoid running processes as the root user inside the container.
- Drop capabilities: Remove Linux capabilities (e.g.,
NET_ADMIN,SYS_ADMIN) that your application doesn't need.
docker run --user 1000:1000 \
--cap-drop=ALL \
my-secure-appScan Container Images for Vulnerabilities
Integrate automated image scanning tools (like Trivy, Clair, or vulnerability scanners from cloud providers) into your CI/CD pipeline.
Scan images early and often to detect known vulnerabilities in your dependencies and operating system layers before deployment.
Kubernetes Network Policies
Network Policies in Kubernetes allow you to control which pods can communicate with each other and with external network endpoints.
By default, pods can communicate freely. Network policies enforce segmentation, creating a firewall around your pods.
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-all-ingress
namespace: default
spec:
podSelector: {}
policyTypes:
- IngressSecure Secrets Management
Sensitive information like API keys, database passwords, and private certificates should never be hardcoded into images or configuration files.
Use Kubernetes Secrets, HashiCorp Vault, or cloud-specific secret managers to store and inject secrets securely at runtime.
apiVersion: v1
kind: Secret
metadata:
name: my-app-secret
type: Opaque
data:
api_key: YmFzZTY0ZW5jb2RlZHNlY3JldA== # base64 encoded value
db_password: cGFzc3dvcmQ=Runtime Security & Monitoring
Even with robust build-time security, runtime protection is crucial. Monitor container behavior for suspicious activities.
Tools like Falco can detect anomalous process execution, unauthorized file access, or unexpected network connections within your containers.
Kubernetes Security Contexts
Security Contexts in Kubernetes allow you to define privilege and access control settings for a Pod or Container.
You can specify settings like running as a non-root user, dropping Linux capabilities, or configuring SELinux/AppArmor profiles.
apiVersion: v1
kind: Pod
metadata:
name: secure-pod
spec:
securityContext:
runAsNonRoot: true
runAsUser: 1000
fsGroup: 2000
containers:
- name: my-container
image: my-image
securityContext:
allowPrivilegeEscalation: false
capabilities:
drop: ["ALL"]Quick Check: Image Security
Which of the following are best practices for securing container images?
Container Security Recap
In this lesson, we covered key aspects of securing containerized applications:
- Minimizing image size and using trusted base images.
- Applying the principle of least privilege.
- Regularly scanning images for vulnerabilities.
- Controlling network access with Kubernetes Network Policies.
- Managing secrets securely.
- Monitoring containers at runtime for suspicious activity.
- Enforcing security settings with Kubernetes Security Contexts.
By following these practices, you can significantly enhance the security posture of your Docker and Kubernetes deployments.
Questions Fréquemment Posées
La leçon « Sécurité des conteneurs (Docker/Kubernetes) » est-elle gratuite ?
Oui — le texte complet de « Sécurité des conteneurs (Docker/Kubernetes) » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours Secure Coding & OWASP Top 10 for Backend, passe à CoddyKit PRO. Le cours Secure Coding & OWASP Top 10 for Backend comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Sécurité des conteneurs (Docker/Kubernetes) » ?
Mettez en œuvre des pratiques sécurisées pour créer, déployer et gérer des applications conteneurisées avec Docker et Kubernetes, notamment l’analyse des images et les politiques réseau. Tu pratiques Secure Coding & OWASP Top 10 for Backend avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer Secure Coding & OWASP Top 10 for Backend ?
Aucune expérience préalable n'est requise. Secure Coding & OWASP Top 10 for Backend sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 2 sur 4.
Combien de temps prend la leçon « Sécurité des conteneurs (Docker/Kubernetes) » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon Secure Coding & OWASP Top 10 for Backend ?
Oui. Chaque leçon Secure Coding & OWASP Top 10 for Backend inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Déploiement sécurisé dans le cloud (AWS/Azure/GCP)
- Sécurité des conteneurs (Docker/Kubernetes)
- Bonnes pratiques de sécurité sans serveur
- Sécurité de l’infrastructure en tant que code