# 실습 디렉토리 준비
mkdir -p /tmp/docker/part3/exam_5 && cd /tmp/docker/part3/exam_5

# 프라이빗 레지스트리 실습용 디렉토리 구조 생성
mkdir -p data certs auth

# 레지스트리 docker-compose.yml 생성
cat > docker-compose.yml << 'EOF'
version: '3.8'
services:
  registry:
    image: registry:2
    ports:
      - "5000:5000"
    volumes:
      - ./data:/var/lib/registry
      - ./certs:/certs
      - ./auth:/auth
    environment:
      REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /var/lib/registry
EOF

docker ps
# CONTAINER ID   IMAGE        COMMAND                  CREATED         STATUS         PORTS
# a1b2c3d4e5f6   registry:2   "/entrypoint.sh /etc…"  5 seconds ago   Up 4 seconds   0.0.0.0:5000->5000/tcp

# API 응답 확인
curl http://localhost:5000/v2/
# {}    ← 빈 JSON 응답이면 정상 동작

# 1. Docker Hub에서 이미지 pull
docker pull nginx:alpine

# 2. 프라이빗 레지스트리 주소로 태그 추가
docker tag nginx:alpine localhost:5000/nginx:alpine

# 3. 프라이빗 레지스트리에 push
docker push localhost:5000/nginx:alpine

# 예상 출력:
# The push refers to repository [localhost:5000/nginx]
# 4d33db9fdf22: Pushed
# 8e7129b0bc5d: Pushed
# ...
# alpine: digest: sha256:abc123... size: 1234

# 저장된 리포지토리 목록
curl http://localhost:5000/v2/_catalog
# {"repositories":["nginx"]}

# 태그 목록 확인
curl http://localhost:5000/v2/nginx/tags/list
# {"name":"nginx","tags":["alpine"]}

# 로컬 이미지 삭제 후 레지스트리에서 pull 테스트
docker rmi localhost:5000/nginx:alpine
docker pull localhost:5000/nginx:alpine

# 예상 출력:
# alpine: Pulling from nginx
# 4abcb2448998: Pull complete
# ...
# Status: Downloaded newer image for localhost:5000/nginx:alpine

# 간단한 테스트 이미지 빌드
mkdir ~/registry-lab/testapp && cat > ~/registry-lab/testapp/Dockerfile <<'EOF'
FROM alpine:latest
LABEL maintainer="devteam@company.com" version="1.0.0"
RUN echo '{"app":"test","version":"1.0.0"}' > /app-info.json
CMD ["cat", "/app-info.json"]
EOF

docker build -t localhost:5000/testapp:v1.0.0 ~/registry-lab/testapp/
docker push localhost:5000/testapp:v1.0.0

# 전체 이미지 목록 확인
curl http://localhost:5000/v2/_catalog
# {"repositories":["nginx","testapp"]}

ls ~/registry-lab/data/docker/registry/v2/repositories/
# nginx  testapp

# 레이어 블롭 저장 위치
ls ~/registry-lab/data/docker/registry/v2/blobs/sha256/ | head -5
# 3d  4a  7f  a1  bc

cd ~/registry-lab

# 첫 번째 사용자 생성 (-B: bcrypt 해시 사용, -b: 비밀번호를 인자로 전달)
htpasswd -Bbn admin "P@ssw0rd!Secure" > auth/htpasswd

# 두 번째 사용자 추가 (-B 플래그로 bcrypt, 파일에 추가)
htpasswd -Bb auth/htpasswd developer "Dev!2026Pass"

# 생성된 파일 확인
cat auth/htpasswd
# admin:$2y$05$...해시값...
# developer:$2y$05$...해시값...

# ~/registry-lab/docker-compose.yml
version: "3.9"

services:
  registry:
    image: registry:2
    container_name: secure-registry
    restart: unless-stopped
    ports:
      - "5001:5000"
    environment:
      # 기본 인증 설정
      REGISTRY_AUTH: htpasswd
      REGISTRY_AUTH_HTPASSWD_REALM: "MyCompany Docker Registry"
      REGISTRY_AUTH_HTPASSWD_PATH: /auth/htpasswd
      # 스토리지 설정
      REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /var/lib/registry
      # 로그 설정
      REGISTRY_LOG_LEVEL: info
      REGISTRY_LOG_FORMATTER: json
    volumes:
      - ./data:/var/lib/registry
      - ./auth:/auth:ro   # read-only 마운트

# 기존 인증 없는 레지스트리 중지
docker rm -f local-registry

# 인증 레지스트리 시작
docker-compose up -d registry

# 인증 없이 접근 시 거부 확인
curl http://localhost:5001/v2/
# {"errors":[{"code":"UNAUTHORIZED","message":"authentication required",...}]}

# 인증 후 접근 성공 확인
curl -u admin:P@ssw0rd\!Secure http://localhost:5001/v2/
# {}

# 레지스트리 로그인
docker login localhost:5001
# Username: admin
# Password: (입력)
# WARNING! Your password will be stored unencrypted in /home/user/.docker/config.json
# Login Succeeded

# 이미지 태그 변경 (포트 5001 사용)
docker tag nginx:alpine localhost:5001/nginx:alpine

# push (자동으로 저장된 자격증명 사용)
docker push localhost:5001/nginx:alpine

# 로그아웃 후 인증 없이 pull 시도
docker logout localhost:5001
docker rmi localhost:5001/nginx:alpine
docker pull localhost:5001/nginx:alpine
# Error response from daemon: Head "http://localhost:5001/v2/nginx/manifests/alpine":
# no basic auth credentials

# 재로그인 후 pull
docker login -u developer -p "Dev!2026Pass" localhost:5001
docker pull localhost:5001/nginx:alpine
# Status: Downloaded newer image for localhost:5001/nginx:alpine

cat ~/.docker/config.json
# {
#   "auths": {
#     "localhost:5001": {
#       "auth": "ZGV2ZWxvcGVyOkRldiEyMDI2UGFzcw=="   <- base64 인코딩
#     }
#   }
# }

# 디코딩하면 "developer:Dev!2026Pass"
echo "ZGV2ZWxvcGVyOkRldiEyMDI2UGFzcw==" | base64 -d
# developer:Dev!2026Pass

cd ~/registry-lab/certs

# 단일 명령으로 self-signed 인증서 생성 (개발/테스트용)
openssl req -newkey rsa:4096 -nodes -sha256 \
  -keyout registry.key \
  -x509 -days 365 \
  -out registry.crt \
  -subj "/CN=localhost" \
  -addext "subjectAltName=IP:127.0.0.1,DNS:localhost"

# 생성된 파일 확인
ls -la certs/
# registry.crt  registry.key

# Docker 레지스트리별 인증서 디렉토리
sudo mkdir -p /etc/docker/certs.d/localhost:5002
sudo cp certs/registry.crt /etc/docker/certs.d/localhost:5002/ca.crt
# docker restart 불필요 — 연결 시마다 certs.d를 읽음

# ~/registry-lab/docker-compose.yml (TLS 포함 전체 구성)
version: "3.9"

services:
  registry:
    image: registry:2
    container_name: tls-registry
    restart: unless-stopped
    ports:
      - "5002:5000"
    environment:
      # TLS 설정
      REGISTRY_HTTP_TLS_CERTIFICATE: /certs/registry.crt
      REGISTRY_HTTP_TLS_KEY: /certs/registry.key
      # 인증 설정
      REGISTRY_AUTH: htpasswd
      REGISTRY_AUTH_HTPASSWD_REALM: "MyCompany Secure Registry"
      REGISTRY_AUTH_HTPASSWD_PATH: /auth/htpasswd
      # 스토리지
      REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /var/lib/registry
      # 삭제 API 활성화
      REGISTRY_STORAGE_DELETE_ENABLED: "true"
    volumes:
      - ./data:/var/lib/registry
      - ./auth:/auth:ro
      - ./certs:/certs:ro
    healthcheck:
      test: ["CMD-SHELL", "wget --no-verbose --tries=1 --spider --no-check-certificate https://localhost:5000/v2/ 2>&1 | grep -E '(401|200)' || exit 1"]
      interval: 15s
      timeout: 5s
      retries: 3
      start_period: 10s

# 기존 레지스트리 중지 후 TLS 레지스트리 시작
docker-compose down
docker-compose up -d

# HTTPS로 접근 (인증 없이 → 401 예상)
# 사전에 발급·검증한 CA 인증서를 사용합니다. -k로 TLS 검증을 끄지 않습니다.
curl --cacert /etc/docker/certs.d/localhost:5002/ca.crt https://localhost:5002/v2/
# {"errors":[{"code":"UNAUTHORIZED","message":"authentication required",...}]}

# 인증 포함 HTTPS 접근
curl --cacert /etc/docker/certs.d/localhost:5002/ca.crt -u '<registry-user>:<password-from-secret-manager>' https://localhost:5002/v2/
# {}

# docker login (HTTPS)
docker login localhost:5002
# Username: admin
# Password:
# Login Succeeded

# 이미지 push
docker tag nginx:alpine localhost:5002/nginx:alpine
docker push localhost:5002/nginx:alpine
# The push refers to repository [localhost:5002/nginx]
# ...
# alpine: digest: sha256:... size: 1234

# Docker로 Trivy 실행 (설치 없이 사용 가능)
alias trivy='docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  -v ~/.cache/trivy:/root/.cache/trivy \
  aquasec/trivy:latest'

# 또는 직접 설치 (Ubuntu)
sudo apt-get install -y wget apt-transport-https gnupg lsb-release
# apt-key는 폐기되었으므로 keyrings에 키를 저장하고 지문을 확인합니다.
curl -fsSL https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo gpg --dearmor -o /usr/share/keyrings/trivy.gpg
# 설치 문서의 현재 공개 키 지문과 비교한 뒤에만 저장소를 신뢰합니다.
gpg --show-keys --with-fingerprint /usr/share/keyrings/trivy.gpg
echo "deb [signed-by=/usr/share/keyrings/trivy.gpg] https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main" \
  | sudo tee /etc/apt/sources.list.d/trivy.list
sudo apt-get update && sudo apt-get install -y trivy

# nginx:alpine 이미지 취약점 스캔
trivy image nginx:alpine

# 예상 출력:
# 2026-03-28T10:00:00Z INFO Vulnerability scanning is enabled
# 2026-03-28T10:00:00Z INFO Secret scanning is enabled
#
# nginx:alpine (alpine 3.19.0)
# ===========================
# Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

# 의도적으로 오래된 이미지 스캔
docker pull python:3.6-slim
trivy image python:3.6-slim

# 예상 출력 (심각한 취약점 다수):
# python:3.6-slim (debian 9.13)
# ==============================
# Total: 287 (UNKNOWN: 5, LOW: 75, MEDIUM: 117, HIGH: 75, CRITICAL: 15)
#
# ┌───────────────┬────────────────┬──────────┬────────────┬───────────────────────┐
# │    Library    │ Vulnerability  │ Severity │ Installed  │    Fixed Version      │
# ├───────────────┼────────────────┼──────────┼────────────┼───────────────────────┤
# │ openssl       │ CVE-2023-0464  │ HIGH     │ 1.1.0l-1   │ 1.1.1n+really1.1.0l-1+│
# │ libc6         │ CVE-2019-1010024│ LOW      │ 2.24-11    │                       │
# └───────────────┴────────────────┴──────────┴────────────┴───────────────────────┘

#!/bin/bash
# registry-push.sh — 취약점 검사 후 push

IMAGE=$1
REGISTRY="localhost:5002"
TAGGED="${REGISTRY}/${IMAGE}"

echo "=== 이미지 빌드 ==="
docker build -t "$TAGGED" .

echo "=== 취약점 스캔 중 ==="
# --exit-code 1: CRITICAL 취약점 발견 시 exit code 1 반환
# --severity: 검사할 심각도 수준
trivy image --exit-code 1 --severity CRITICAL "$TAGGED"

if [ $? -ne 0 ]; then
  echo "❌ CRITICAL 취약점 발견 — push 중단"
  exit 1
fi

echo "=== 레지스트리에 push ==="
docker push "$TAGGED"
echo "✅ $TAGGED push 완료"

trivy image --format json --output scan-result.json nginx:alpine
cat scan-result.json | python3 -c "
import sys, json
data = json.load(sys.stdin)
results = data.get('Results', [])
for r in results:
    vulns = r.get('Vulnerabilities') or []
    critical = [v for v in vulns if v['Severity'] == 'CRITICAL']
    if critical:
        print(f'CRITICAL 취약점 {len(critical)}개 발견:')
        for v in critical[:3]:
            print(f'  - {v[\"VulnerabilityID\"]}: {v[\"PkgName\"]} {v.get(\"FixedVersion\", \"수정 없음\")}')
"