# 실습 디렉토리 준비
mkdir -p /tmp/docker/part5/exam_21 && cd /tmp/docker/part5/exam_21

# 현재 대부분의 공식 이미지가 root로 실행됨
docker run --rm nginx id
# uid=0(root) gid=0(root) groups=0(root)

docker run --rm node:20 id
# uid=0(root) gid=0(root) groups=0(root)

# root 컨테이너에서 호스트 파일 접근 시나리오
# (bind mount가 있을 경우)
docker run --rm -v /etc:/host-etc alpine cat /host-etc/shadow
# root 컨테이너는 호스트의 /etc/shadow를 읽을 수 있음 (심각!)

[root 컨테이너 탈출]          [non-root 컨테이너 탈출]
호스트 root 권한 획득           호스트 UID 1001 권한만 획득
→ 모든 파일 접근 가능            → /etc, /var 등 접근 불가
→ 다른 컨테이너 침해 가능         → 피해 범위 제한적
→ 호스트 시스템 완전 장악         → 추가 공격 어려움

[빌드 시점] ───────────────────────────────────────
   ① 이미지 스캔        Trivy·Scout 로 베이스·의존성 CVE 차단
   │
   ② 최소 베이스 + 비root   distroless/alpine · USER 1001 (이미지에 구움)
   │
[실행 시점] ───────────────────────────────────────
   ③ 런타임 격리        namespace 분리 · cgroup 자원 제한 · cap-drop ALL · seccomp
   │
   ④ 파일시스템·시크릿   --read-only + --tmpfs · secrets(env 노출 차단)
   │
[호스트] ─────────────────────────────────────────
   ⑤ 호스트 보호        userns-remap · no-new-privileges · --privileged 금지
   ▼
   각 층이 독립적으로 공격을 억제 — 한 층이 뚫려도 다음 층이 피해를 가둠

FROM node:20-alpine

WORKDIR /app

# 의존성 설치는 root로 (파일 쓰기 권한 필요)
COPY package.json package-lock.json ./
RUN npm ci --omit=dev

COPY . .

# -- 전용 non-root 사용자 생성 --
# -r: 시스템 계정 (로그인 불가)
# -u 1001: 명시적 UID 지정 (다른 서비스와 충돌 방지)
# -g nodejs: 전용 그룹
RUN addgroup -S nodejs && \
    adduser -S -u 1001 -G nodejs nodeuser

# 앱 파일의 소유자를 nodeuser로 변경
RUN chown -R nodeuser:nodejs /app

# 이후 모든 명령은 nodeuser로 실행
USER nodeuser

EXPOSE 3000
CMD ["node", "dist/index.js"]

# Alpine (BusyBox adduser/addgroup)
RUN addgroup -S -g 1001 appgroup && \
    adduser -S -u 1001 -G appgroup appuser

# Debian/Ubuntu (useradd/groupadd)
RUN groupadd -r -g 1001 appgroup && \
    useradd -r -u 1001 -g appgroup -m -d /home/appuser appuser

# distroless는 이미 nonroot 사용자 포함 (UID 65532)
FROM gcr.io/distroless/nodejs20-debian12
USER 65532:65532

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine AS runtime
WORKDIR /app

# runtime 스테이지에서만 사용자 생성
RUN addgroup -S nodejs && adduser -S -u 1001 -G nodejs nodeuser

COPY --from=builder --chown=nodeuser:nodejs /app/dist ./dist
COPY --from=builder --chown=nodeuser:nodejs /app/node_modules ./node_modules
COPY --chown=nodeuser:nodejs package.json .

# 중요: USER는 COPY 이후, CMD 이전에 위치
USER nodeuser

EXPOSE 3000
CMD ["node", "dist/index.js"]

# 컨테이너의 현재 capabilities 확인
docker run --rm --cap-add SYS_PTRACE alpine sh -c \
  "apk add -q libcap && capsh --print"

# Docker 기본 capabilities 목록 확인
docker run --rm alpine sh -c \
  "apk add -q libcap && capsh --print 2>/dev/null | grep Current"

# 모든 capabilities 제거
docker run --rm --cap-drop ALL alpine id

# 모든 제거 후 필요한 것만 추가 (웹 서버: 80/443 바인딩만 필요)
docker run --rm \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  nginx

# 필요 없는 것만 선별 제거 (점진적 접근)
docker run --rm \
  --cap-drop NET_ADMIN \
  --cap-drop SYS_ADMIN \
  --cap-drop SYS_PTRACE \
  myapp

services:
  api:
    image: myapp:latest
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE
    # SYS_ADMIN은 절대 추가하지 않음

# 읽기 전용으로 실행
docker run --rm --read-only alpine sh -c "echo test > /tmp/test"
# 오류: /tmp/test: Read-only file system

# 실행은 되지만 쓰기가 차단됨 확인
docker run --rm --read-only alpine sh -c "ls /"
# 읽기는 정상 동작

# /tmp는 메모리 기반으로 쓰기 허용, 나머지는 읽기 전용
docker run --rm \
  --read-only \
  --tmpfs /tmp:rw,size=64m,noexec,nosuid \
  alpine sh -c "echo test > /tmp/test && cat /tmp/test"
# 정상 동작

# noexec: tmpfs에서 실행 파일 실행 불가 (추가 보안)
# nosuid: SUID 비트 무시
# size=64m: 64MB 제한 (디스크 고갈 공격 방지)

# Node.js 앱에 필요한 쓰기 경로 파악
docker run --rm --read-only \
  -e NODE_ENV=production \
  myapp:latest node dist/index.js 2>&1 | grep "Read-only\|EROFS\|EACCES"

# 필요한 경로만 tmpfs로 허용
docker run -d \
  --read-only \
  --tmpfs /tmp:rw,size=64m,noexec,nosuid \
  --tmpfs /app/logs:rw,size=100m,noexec,nosuid \
  -p 3000:3000 \
  myapp:latest

services:
  api:
    image: myapp:latest
    read_only: true
    tmpfs:
      - /tmp:size=64m,noexec,nosuid,mode=1777
      - /app/tmp:size=32m,noexec,nosuid
    volumes:
      # 영구 저장이 필요한 데이터만 named volume으로
      - app-data:/app/data

# Docker Bench Security 실행 (호스트 전체 감사)
docker run --rm \
  -v /var/lib/docker:/var/lib/docker:ro \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /etc:/host/etc:ro \
  -v /usr/lib/systemd:/host/usr/lib/systemd:ro \
  --privileged --pid=host --network=host \
  --label docker_bench_security \
  docker/docker-bench-security

[INFO] 4 - Container Images and Build File
[PASS] 4.1  - Ensure a user for the container has been created
[WARN] 4.2  - Ensure that containers use only trusted base images
[PASS] 4.5  - Ensure Content trust for Docker is Enabled
[WARN] 4.6  - Ensure that HEALTHCHECK instructions have been added...

[INFO] 5 - Container Runtime
[WARN] 5.4  - Ensure that privileged containers are not used
[PASS] 5.7  - Ensure privileged ports are not mapped within containers
[WARN] 5.9  - Ensure that the host's network namespace is not shared
[PASS] 5.11 - Ensure that the memory usage for containers is limited

# WARN: root로 실행 중인 컨테이너 확인
docker ps -q | xargs docker inspect \
  --format='{{.Id}}: User={{.Config.User}}' | grep 'User=$'

# WARN: 읽기 전용이 아닌 루트 파일시스템
docker ps -q | xargs docker inspect \
  --format='{{.Id}}: ReadOnly={{.HostConfig.ReadonlyRootfs}}'

# WARN: --privileged 컨테이너 확인
docker ps -q | xargs docker inspect \
  --format='{{.Id}}: Privileged={{.HostConfig.Privileged}}'