أمان Docker: تصليب بيئة الحاويات

# ممارسة سيئة — التشغيل بـ root
FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD ["node", "server.js"]

# ممارسة جيدة — مستخدم غير root
FROM node:20

# إنشاء مستخدم ومجموعة
RUN groupadd -r appgroup && useradd -r -g appgroup appuser

WORKDIR /app
COPY --chown=appuser:appgroup . .
RUN npm ci --only=production

# التبديل إلى مستخدم غير root
USER appuser

CMD ["node", "server.js"]

# التشغيل بمستخدم محدد
docker run -d --user 1000:1000 myapp:latest

# التشغيل بالمستخدم الحالي
docker run -d --user $(id -u):$(id -g) myapp:latest

# التشغيل بنظام ملفات جذر للقراءة فقط
docker run -d \
  --name myapp \
  --read-only \
  --tmpfs /tmp \
  --tmpfs /var/run \
  myapp:latest

# docker-compose.yml
services:
  app:
    image: myapp:latest
    read_only: true
    tmpfs:
      - /tmp
      - /var/run
    volumes:
      - app-logs:/app/logs

# إزالة جميع الـ capabilities وإضافة الضرورية فقط
docker run -d \
  --name myapp \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  myapp:latest

# لا تستخدم الوضع المميز أبداً
# docker run --privileged myapp  # ممارسة سيئة

services:
  app:
    image: myapp:latest
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE
      - CHOWN

# التشغيل بملف seccomp الافتراضي (موصى به)
docker run -d --security-opt seccomp=default myapp:latest

# ملف seccomp مخصص
docker run -d \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  myapp:latest

# صورة ضئيلة مع بناء متعدد المراحل
FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
RUN npm run build

# صورة الإنتاج — ضئيلة
FROM node:20-alpine

# تطبيق تحديثات الأمان
RUN apk update && apk upgrade && apk add --no-cache dumb-init

# مستخدم غير root
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app
COPY --from=builder --chown=appuser:appgroup /app/dist ./dist
COPY --from=builder --chown=appuser:appgroup /app/node_modules ./node_modules

USER appuser

HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD wget -qO- http://localhost:3000/health || exit 1

ENTRYPOINT ["dumb-init", "--"]
CMD ["node", "dist/server.js"]

# الفحص بـ Trivy (موصى به)
docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:latest image myapp:latest

# الثغرات الحرجة والعالية فقط
docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:latest image \
  --severity CRITICAL,HIGH \
  myapp:latest

# ربط Docker socket للقراءة فقط (للمراقبة)
docker run -d \
  --name monitoring \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  monitoring-app:latest

# لا تربط Docker socket في حاويات الإنتاج أبداً!

# استخدام Docker secrets (وضع Swarm)
echo "StrongPass123!" | docker secret create db_password -

docker service create \
  --name myapp \
  --secret db_password \
  myapp:latest
# السر متاح في /run/secrets/db_password

# فتح المنافذ الضرورية فقط
docker run -d \
  --name myapp \
  -p 127.0.0.1:8080:8080 \
  myapp:latest

# حدود CPU والذاكرة
docker run -d \
  --name myapp \
  --memory 512m \
  --memory-swap 512m \
  --cpus 1.0 \
  --pids-limit 100 \
  myapp:latest

// /etc/docker/daemon.json
{
  "icc": false,
  "no-new-privileges": true,
  "userns-remap": "default",
  "live-restore": true,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}