[P2][ops] Docker/runtime hardening 및 secret/cert permission 가이드 보강 #41

New issue

Closed

opened 2026-05-02 04:34:11 +00:00 by boxqkrtm · 1 comment

boxqkrtm commented

2026-05-02 04:34:11 +00:00

문제

distroless, non-root runtime, multi-arch build workflow 등 기본 방향은 좋습니다. public relay 운영 기준으로 image/runtime hardening과 secret/cert permission 가이드를 더 보강할 필요가 있습니다.

제안

base image digest pinning
SBOM/provenance 활성화
cargo auditable 또는 SBOM 기반 vulnerability scan
file capability가 final image에서 실제 유지되는지 검증
runtime read-only filesystem 검토
/portal-certs 및 identity/private key directory permission guide 명시
container healthcheck/readiness와 cert expiry metric 연동 검토

완료 기준

Dockerfile/workflow에 digest pinning 또는 그에 준하는 supply-chain 방어 적용
SBOM/provenance/vulnerability scan 경로 제공
운영 문서에 secret/cert volume permission guide 추가

검토 기준: 업로드된 Rust portal-relay 코드 정적 리뷰. 리뷰 환경에서는 cargo check/test/clippy를 실행하지 못했습니다.

## 문제 distroless, non-root runtime, multi-arch build workflow 등 기본 방향은 좋습니다. public relay 운영 기준으로 image/runtime hardening과 secret/cert permission 가이드를 더 보강할 필요가 있습니다. ## 제안 - base image digest pinning - SBOM/provenance 활성화 - `cargo auditable` 또는 SBOM 기반 vulnerability scan - file capability가 final image에서 실제 유지되는지 검증 - runtime read-only filesystem 검토 - `/portal-certs` 및 identity/private key directory permission guide 명시 - container healthcheck/readiness와 cert expiry metric 연동 검토 ## 완료 기준 - Dockerfile/workflow에 digest pinning 또는 그에 준하는 supply-chain 방어 적용 - SBOM/provenance/vulnerability scan 경로 제공 - 운영 문서에 secret/cert volume permission guide 추가 --- 검토 기준: 업로드된 Rust `portal-relay` 코드 정적 리뷰. 리뷰 환경에서는 `cargo check/test/clippy`를 실행하지 못했습니다.

gofix commented

2026-05-03 18:58:42 +00:00

Owner

검토했지만 별도 코드 변경 대상으로는 수용하지 않습니다. 현재 Dockerfile은 non-root runtime과 file capabilities를 이미 적용하고 있고, secret/cert file permission 문제는 PR #62에서 코드로 해결했습니다. digest pinning/SBOM/provenance/scan은 relay 호환성보다 supply-chain 운영 정책에 가까워 현재 프로젝트 scope 밖으로 보고 닫습니다.

gofix closed this issue

2026-05-03 18:58:42 +00:00

No labels

No milestone

No project

No assignees

2 participants

Notifications

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

gofix/portal-tunnel-rs#41

No description provided.

Rows
Columns