تخطَّ إلى المحتوى
كورس Kubernetes بالعربي من الصفر للاحتراف

Image Scanning و SBOM و Signing

الهدف من الدرس

Section titled “الهدف من الدرس”

ستفهم دورة image آمنة: build، scan، SBOM، signing، ثم policy تمنع تشغيل images غير موثوقة.

الفكرة ببساطة

Section titled “الفكرة ببساطة”

قبل أن يعمل Pod، يجب أن تثق في image: مصدرها معروف، vulnerabilities مقبولة، مكوناتها موثقة، والتوقيع يثبت أنها لم تتغير بعد build.

Pipeline مقترح

Section titled “Pipeline مقترح”
flowchart LR
  Code[Code] --> Build[Build Image]
  Build --> Scan[Vulnerability Scan]
  Scan --> SBOM[Generate SBOM]
  SBOM --> Sign[Sign Image]
  Sign --> Registry[Push Registry]
  Registry --> Policy[Admission Policy]

أوامر نموذجية

Section titled “أوامر نموذجية”
Terminal window
trivy image nginx:1.27
syft nginx:1.27 -o spdx-json > nginx-sbom.json
cosign sign registry.example.com/web:1.0.0
cosign verify registry.example.com/web:1.0.0

Expected output مختصر:

Total: 0 critical, 2 high, 10 medium
Verification for registry.example.com/web:1.0.0 --
The following checks were performed...

ما الذي توثقه؟

Section titled “ما الذي توثقه؟”
artifactالهدف
Scan reportمعرفة vulnerabilities
SBOMمعرفة dependencies والمكونات
Signatureإثبات مصدر image وسلامتها
Admission policyمنع تشغيل images غير مطابقة

Lab: قراءة تقرير scan وقرار release

المستوى: مبتدئ الوقت: 25 دقيقة الأدوات: trivy أو أداة scan مكافئة

الهدف: تنفيذ scan على image عامة وكتابة قرار قبول أو رفض بناء على severity.

Prerequisites

Section titled “Prerequisites”
  • أداة scan مثل Trivy.

Steps

Section titled “Steps”
Terminal window
trivy image nginx:1.27
trivy image --severity CRITICAL,HIGH nginx:1.27

Expected output

Section titled “Expected output”

سترى جدولا يحتوي package و vulnerability ID و severity. القرار المطلوب: هل يوجد CRITICAL قابل للإصلاح؟ هل image مناسبة للبيئة؟

Cleanup

Section titled “Cleanup”

لا توجد موارد Kubernetes للتنظيف.

أخطاء شائعة

Section titled “أخطاء شائعة”
الخطأالحل
استخدام tag مثل latestاستخدم tag ثابت أو digest
scan في CI فقط بلا policyأضف admission control أو registry policy
تجاهل base imageاختر base صغير ومدعوم