Halaman ini memberikan informasi tentang praktik terbaik untuk membuat dan menjalankan image container.
Membuat container
Pendekatan yang Anda ambil untuk mem-build image container dapat memengaruhi kecepatan build dan deployment, serta upaya yang diperlukan untuk mempertahankan image Anda.
Pelajari praktik terbaik untuk membangun container yang lebih mudah dibangun dan dijalankan.
Anda juga dapat membaca praktik terbaik Docker untuk membuat gambar.
Mengoperasikan container
Pelajari praktik terbaik untuk mengoperasikan container. Praktik ini mencakup rekomendasi untuk keamanan, pemantauan, dan logging yang membuat aplikasi lebih mudah dijalankan di Google Kubernetes Engine dan dalam container secara umum.
Pertimbangan untuk registry publik
Pertimbangkan kasus-kasus berikut dengan cermat:
- Menggunakan gambar dari sumber publik
Jika menggunakan image dari sumber publik seperti Docker Hub, Anda memasukkan kode yang tidak dikontrol oleh organisasi ke dalam supply chain software Anda. Untuk memitigasi risiko, Anda dapat:
- Buat gambar Anda sendiri untuk mengontrol konten gambar.
- Gunakan image dasar standar dan buat di atas image tersebut.
- Memindai image untuk menemukan kerentanan dan mengatasi kerentanan yang teridentifikasi.
- Menerapkan standar dan kebijakan pada image yang Anda deploy.
- Membuat registry Anda menjadi publik
Anda dapat membuat registry di project Google Cloud menjadi publik dengan memberikan akses baca pada bucket penyimpanan registry ke identitas
allUsers.Jika semua pengguna memiliki akun Google Cloud, Anda dapat membatasi akses hanya untuk pengguna terautentikasi dengan identitas
allAuthenticatedUsers.Pertimbangkan panduan berikut sebelum membuat registry menjadi publik:
- Pastikan semua image yang Anda simpan di registry dapat dibagikan secara publik dan tidak menampilkan kredensial, data pribadi, atau data rahasia.
- Anda dikenai biaya untuk traffic keluar jaringan saat pengguna menarik gambar. Jika Anda mengharapkan banyak traffic download internet, pertimbangkan biaya terkait.
- Secara default, project memiliki kuota per pengguna yang tidak terbatas. Untuk mencegah penyalahgunaan, batasi kuota per pengguna dalam project Anda.
Menghapus gambar yang tidak digunakan
Hapus image container yang tidak digunakan untuk mengurangi biaya penyimpanan dan mengurangi risiko penggunaan software yang lebih lama. Ada sejumlah alat yang tersedia untuk membantu tugas ini, termasuk gcr-cleaner. Alat gcr-cleaner bukan produk resmi Google.
Menilai keamanan container
Center for Internet Security (CIS) memiliki Tolok Ukur Docker untuk mengevaluasi keamanan container Docker.
Docker menyediakan skrip open source yang disebut Docker Bench for Security. Anda dapat menggunakan skrip ini untuk memvalidasi container Docker yang berjalan terhadap Tolok Ukur Docker CIS.
Docker Bench For Security dapat membantu Anda memverifikasi banyak item di Benchmark Docker CIS, tetapi tidak semua item dapat diverifikasi dengan skrip. Misalnya, skrip tidak dapat memverifikasi apakah host untuk penampung telah di-hardening atau apakah image penampung menyertakan data pribadi. Tinjau semua item di benchmark dan identifikasi item yang mungkin memerlukan verifikasi tambahan.
Mengamankan deployment
Pelajari cara membangun supply chain software yang aman, serta cara menggunakan pemindaian kerentanan dan Otorisasi Biner di Google Cloud untuk menentukan dan menerapkan kebijakan deployment.
Anda juga dapat menonton video yang menjelaskan cara mengamankan supply chain software.