Kutengeneza kalibu ya Docker kunahitaji tabaka nyingi — picha ndogo na zilizoaminika, kuendesha kama si-root, kusafiri kwa njia ya kukamatia matatizo, usimamizi wa siri, mipango ya rasilimali na uwezo, na kuboreswa kwa mtaalamu wa wavuti/daemon. Usalama wa kalibu ni muhimu kwa sababu matatizo yanaweza kuathiri kalibu na mtaalamu wa wavuti.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Kutengeneza kalibu ya Docker ni ujuzi muhimu wa kiwango cha juu kwa sababu matatizo ya kalibu yanaweza kuathiri kalibu na mtaalamu wa wavuti, ikifanya usalama kuwa suala la tabaka nyingi na matokeo ya kweli. Picha usalama mbinu (picha ndogo/zilizoaminika za msingi kupunguza uso wa shambulio, kupiga mipango, kusafiri kwa njia ya kukamatia matatizo kukamatia CVEs inayojulikana, kubaki picha iliyosasishwa) kuzuia kusambaza picha zinazoweza kusafiriwa — chanzo cha kawaida cha matatizo. Usalama wa wakati wa uendeshaji ni muhimu sana: kuendesha kama si-root ni mojawapo ya mbinu muhimu zaidi kwa sababu kalibu ya root iliyoathiriwa ni hatari zaidi (inayoweza kusababisha kuathiriwa kwa mtaalamu wa wavuti), na kuangusha uwezo, kutumia mifumo inayosomwa tu, kuzuia kuongezwa kwa usitizo, na kutokuwa na --privileged isipokuwa ikiwa ni lazima kabisa (inakubali kufikia kwa umbo la mtaalamu) zote hutengeneza kile ambacho mshambulizi anaweza kufanya ikiwa kalibu itaathiriwa — utetezi wa kina. Usimamizi wa siri (kutokuwa na siri katika picha, kutumia siri ya wakati wa uendeshaji) kuzuia uvujaji wa siri. Mtaalamu wa wavuti na usalama wa daemon ni muhimu na mara nyingi hauzingatiwe: Docker daemon inaendesha kama root, kwa hivyo kufikia kwayo (au socket ya Docker) inakumaanisha root kwenye mtaalamu wa wavuti — ikifanya kuzuia daemon, kutokuwa na kutoa socket ya Docker, na kubaki mtaalamu wa wavuti ulioboreshwa muhimu, na rootless Docker na jina-umeme linakubalika kutengeneza isolation madhubuti.
Kwa kuwa kalibuni zinashiriki kernel ya mtaalamu wa wavuti (kwa hivyo kukamatia kalibu au kuathiriwa kwa mtaalamu wa wavuti kuna matokeo mazuri) na programu za kalibu zinazotumika sana katika uzalishaji, na kwa kuwa usalama sahihi (picha ndogo/zilizokamatia, uendeshaji si-root wenye uwezo mdogo, usimamizi wa siri, na daemon/mtaalamu wa wavuti uboreswa) ndo inayozuia kuathiriwa kwa kweli kwa kalibu na mtaalamu wa wavuti, kuelewa jinsi ya kutengeneza Docker kalibuni ni ujuzi muhimu wa kiwango cha juu — wajibu muhimu kwa uzalishaji wa kalibu, ambapo mbinu za tabaka nyingi (hasa uendeshaji si-root na kutetea daemon iliyozingatia root) kubaliana na hatari nzuri na hatari kali zilizomo asili katika kusambaza kalibu.