tag: security
- SonarQube в GitLab CI: dotnet-sonarscanner и дельта покрытия GIT_DEPTH:0 для blame, кастомный SDK-образ на сервис через переопределение variables в rules, сбор dotnet-coverage, проверка дельты покрытия относительно последнего успешного пайплайна через GitLab API.
- Vault JWT auth из GitLab CI: без статических токенов Настройка Vault JWT auth с GitLab JWKS, per-environment роли с bound_claims на ref и project_path, короткоживущие Vault-токены в CI-джобах, kubeconfig получается из Vault в момент деплоя.
- Базовая безопасность FastAPI-приложения: заголовки, аутентификация и валидация CSP, HSTS, HTTP Basic Auth с timing-safe сравнением и защита от path traversal — что есть в приложении и чего не хватает.
- Автоматический TLS через cert-manager, Let's Encrypt и Traefik IngressRoutes ClusterIssuer, HTTP-01 challenges, multi-SAN сертификаты и addPrefix middleware для маршрутизации поддоменов.
- RBAC-паттерны Kubernetes: per-namespace роли в GitOps Агрегированные ClusterRole для developer и devops, RoleBinding с областью видимости per-namespace под управлением Flux, ClusterRoleBinding для read-only доступа к мониторингу.
- Trivy + SonarQube: сканирование безопасности в пайплайне GitLab CI Сканирование файловой системы и живого Kubernetes-кластера через Trivy. SARIF для скана репозитория, конвертация JSON в external-issues для k8s-findings, импорт в SonarQube.
- cert-manager: wildcard-сертификаты через DNS-01 challenge ClusterIssuer с ACME DNS-01 через Yandex Cloud DNS webhook. Certificate CR для *.dev.test.antonnovikov.com, запечатанное распространение на spoke-кластеры.
- Cilium NetworkPolicy: default-deny и DNS-aware правила Default-deny ingress per namespace, разрешение от APISIX, CiliumNetworkPolicy toFQDNs для внешних API, L7 HTTP path rules, кластерная политика скрейпинга Prometheus.
- External Secrets Operator + HashiCorp Vault: Kubernetes auth flow ESO аутентифицируется в Vault через токен Kubernetes ServiceAccount. ClusterSecretStore, ExternalSecret и шаги bootstrap для Vault Kubernetes auth.
- Многоэтапный Dockerfile для .NET: собрать один раз, запустить компактно Трёхэтапный паттерн restore/build/runtime, оптимизация кэша через разделение файлов проекта и исходного кода, non-root пользователь, readOnlyRootFilesystem, BuildKit registry caching в GitLab CI.
- DefectDojo в Kubernetes: security findings как первоклассный CI-гейт HelmRelease DefectDojo, загрузка отчётов Trivy и SonarQube через API, модель product и engagement, принудительное SLA в CI — пайплайн падает на непризнанных findings с высокой severity.
- APISIX как Kubernetes ingress: rate limiting, JWT-маршрутизация и Lua-плагины APISIX Ingress Controller с ApisixRoute, limit-count для rate limiting per consumer, маршрутизация по JWT claims для A/B тестирования, serverless Lua-плагин для трансформации запросов, canary releases.
- Traefik Middleware для security headers: HSTS, CSP и защита фреймов Ресурсы Traefik Middleware для HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и Content-Security-Policy. Подключение к IngressRoute и проверка заголовков через curl.
- Cilium network policy: default-deny и изоляция воркнагрузок Default-deny CiliumNetworkPolicy per namespace, избирательные правила разрешения для DNS, ingress controller, межсервисного трафика, FQDN-based egress политики и L7 HTTP политика для контроля на уровне пути.
- Trivy Operator в Kubernetes: автоматизированное сканирование уязвимостей Деплой Trivy Operator через Helm, CRD VulnerabilityReport и ConfigAuditReport, интеграция с Prometheus метриками, алертинг на HIGH/CRITICAL CVE и Trivy в GitLab CI с загрузкой SARIF.
- SonarQube в Kubernetes: деплой и интеграция с GitLab CI HelmRelease SonarQube с PostgreSQL backend (CloudNativePG), GitLab OAuth, ESO для credentials, джоб sonar-scanner-cli в GitLab CI, GIT_DEPTH:0 для blame.
- SealedSecrets: хранение зашифрованных kubeconfig в git Bitnami SealedSecrets шифрует credentials кластера для безопасного хранения в git. Воркфлоу запечатки, namespace binding, процесс обновления и траблшутинг контроллера.
- External Secrets Operator с HashiCorp Vault: JWT auth и KV v2 ClusterSecretStore ESO с Vault JWT аутентификацией через Kubernetes service accounts, синхронизация ExternalSecret с путями KV v2, refresh interval, шаблонирование секретов и сравнение ESO vs SealedSecrets.
- Sealed Secrets: полный рабочий процесс от установки до миграции кластера Воркфлоу kubeseal: установка контроллера, offline запечатка с pub cert, процедуры бэкапа cert, ротация ключей контроллера и перезапечатка всех секретов при миграции на новый кластер.
- HashiCorp Vault: bootstrap, unseal и Kubernetes auth Vault HA с Raft storage, церемония operator init, ручной unseal vs auto-unseal через YC KMS, настройка метода Kubernetes auth, KV v2, политики и привязка ролей ESO.
No posts match the selected filters.