#Continuous Delivery Dockerfile内で複数のビルドステージ（FROM命令）を定義し、最終的に必要なアーティファクトのみを抽出して軽量なコンテナイメージを作成する手法 メリット イメージサイズの大幅削減: ビルドツールを含まないため、最終イメージサイズを大幅に削減（例: 729MB → 26.2MB） セキュリティ向上: ビルドツールやソースコードが実行環境に残らない 効率的なCI/CDパイプライン: ビルド環境と実行環境の明確な分離により運用がシンプル化 https://docs.docker.jp/develop/develop-images/multistage-build.html

#Continuous Integration Dockerfileの構文チェック、ベストプラクティス検証、セキュリティ脆弱性検出を行うSASTツール Haskellで実装され、ShellCheckを統合することでRUN命令内のbashスクリプトも検証する ベストプラクティス違反の警告はNon-root Userやマルチステージビルドなどの実践に対応する Dockerイメージとしても配布されており、ローカル環境へのインストール不要で実行可能 https://hadolint.dev/ https://github.com/hadolint/hadolint

主にDockerfileなどにおいて、非rootユーザーでのログインを推奨する#Securityベストプラクティス Dockerfile ベストプラクティス docker-node/docs/BestPractices.md at main · nodejs/docker-node

#Security #Cloud Native #Continuous Integration #Continuous Delivery Aqua Securityが開発するオープンソースの脆弱性・設定ミス・シークレットスキャナー。コンテナイメージ、Kubernetes、IaC、gitリポジトリを対象とする SASTツールの一種としてDevSecOpsのシフトレフトセキュリティを担い、CIパイプラインに統合できる DockerfileやTerraformの設定ミス検出、シークレット検出、SBOM生成にも対応する --format sarif で SARIF 出力に対応し GitHub Code Scanning に取り込める https://trivy.dev/ https://github.com/aquasecurity/trivy

#Security #Cloud Native CRITICAL / HIGH の脆弱性を持つライブラリを patch 済みに差し替えた "zero-CVE base images" のレジストリ。ディストリのメジャーバージョンを上げず backport で修正するため drop-in replacement として使える FROM debian:bookworm を FROM docker.aikido.io/<token>/debian:bookworm に書き換えるだけで適用でき、Platform の AutoFix for Containers が Dockerfile の書き換え PR を生成する OS レベルの CVE は patch 作成 SLA 付き、アプリレベルのパッケージは best-effort。SBOM / VEX / SLSA provenance を添付し、EOL 後のコンテナイメージにも修正を提供する https://www.aikido.dev/cloud/hardened-images