« Un conteneur est isolé par défaut, donc root dans le conteneur n’est pas important. »
Privilèges, capacités, sockets, montages et namespaces peuvent rapprocher le workload de l’hôte.
01Épingle les images
column -s, -t "$lab/source/containers/images.csv"La référence associe tag lisible et digest immuable. La provenance, la signature déclarée, la revue et le propriétaire sont conservés.
Le lab ne vérifie pas réellement une signature ni un scan.
02Lis la politique runtime
column -s, -t "$lab/source/containers/runtime-policy.csv"Les workloads sont non root, non privilégiés, en lecture seule, avec capacités supprimées, no-new-privileges, seccomp RuntimeDefault et limites de ressources.
03Protège les namespaces
hostNetwork, hostPID et hostIPC restent désactivés. Un besoin exceptionnel exige une justification et une isolation supplémentaire.
04Protège le socket runtime
Monter le socket Docker ou containerd donne souvent un contrôle très large sur l’hôte. La fixture exige runtime_socket_mounted=false.
05Réduis les montages
column -s, -t "$lab/source/containers/host-boundaries.csv"Les montages hôte sont explicites, minimaux et en lecture seule. Le management de l’hôte passe par MGMT via WireGuard.
06Teste les erreurs
NEG-06 bloque une image latest, sans digest ou provenance. NEG-07 bloque root, mode privilégié, SYS_ADMIN, namespace hôte ou socket runtime.
07Préserve la fonction
Le test représenté prouve seulement que la politique contient les conditions nécessaires. Un vrai runtime doit encore démarrer le conteneur, exercer sa fonction et vérifier les refus.
08Prépare le rollback
Conserve la définition précédente, le digest antérieur, les volumes et la procédure de retour. Un rollback ne consiste pas à redémarrer aveuglément une image mutable.
Défends un profil conteneur
Présente image, digest, provenance, utilisateur, capacités, seccomp, filesystem, ressources, montages, réseau, test fonctionnel et rollback.
✓À retenir
La sécurité conteneur dépend du workload et de la frontière avec l’hôte : image immuable, privilèges minimaux, runtime contraint et rollback maîtrisé.