Jacob Baek's home

이미 만들어놓은 policy들을 가져다 쓸수는 없을까? 라는 의문이 들수 있다. 이를 library라는 항목으로 github내에 yaml 파일들을 제공하고 있다. 이는 kustomize 도구를 통해 배포가 가능하다. Library 공식 라이브러리로 제공되고 있으며 gatekeeper 의 기본동작방식에 맞게 다음 두가지 방식의 library를 제공한다. validation mutation https://github.com/open-policy-agent/gatekeeper-library/tree/master/library/general How to use 다음과 같은 순서로 constraint을 만들고 실제 policy로서 동작할수 있도록 해야 한다. library를 이용한 constrinat templa..

Gatekeeper를 이용해 validation 을 통한 deny/audit 등을 수행할수도 있지만 muatation을 통한 특정조건을 강제화시킬수도 있다. mutation은 gatekeeper 3.10 이상부터 v1으로 제공되며 다음과 같은 4가지 방식의 CRD가 제공되어 이를 통한 강제화를 수행할수 있다. assign assignmetadata assignimage ModifySet How it works 아래 pod를 기반으로 위 4가지 CRD를 확인해보자. 동일한 내용을 가진 container를 name을 다르게 하여 비교하여 확인해볼 예정이다. jacob@laptop:~ $ cat testpod.yaml apiVersion: v1 kind: Pod metadata: name: testpod na..

Rego 로 policy 생성시 단순히 정해진 결과만이 아닌 dynamic하게 data를 가져오는것도 가능하다. 아래와 같은 http.send 함수를 사용하여 생성이 가능하며 간단한 sample code를 기반으로 사용법을 익혀해보도록 하자. http.send를 사용한 rego test 다음 작업을 위해서는 아래 사항이 필수적으로 존재해야 한다. opa cli 설치 json 결과를 return 해주는 웹서버 (이는 http.send를 사용하기 위해) 위 사항이 준비되었다면 이제 rego 파일 생성과 opa command를 통한 테스트 결과를 출력해보자. 먼저 아래와 같이 json result가 출력되는 테스트 서버를 구현하고 jacob@laptop:~ $ curl http://localhost/res/j..

trivy database 내 존재하는 CVE를 확인해볼수 있는 방법을 기술한다. images database 다음과 같은 명령을 통해 database file을 다운로드 한다. TRIVY_TEMP_DIR=$(mktemp -d) trivy --cache-dir $TRIVY_TEMP_DIR image --download-db-only tar -cf ./db.tar.gz -C $TRIVY_TEMP_DIR/db metadata.json trivy.db https://github.com/aquasecurity/trivy-db#version-2 trivy db는 boltdb로 되어 있기에 아래 boltbrowser를 다운로드 받아 이를 통해 접근해 리스트를 확인해볼수 있다. https://github.com/br..

Boundary 란? Boundary는 호스트와 서비스에 단순하고 안전한 접근을 제공한다. Boundary는 소개시에 대체로 SSH Bastion Hosts나 VPN 그리고 Firewall을 예로 들면서 설명이 이루어진다. 이러한 부분에서 짐작할수 있고 실제 이름에서도 볼수 있듯이 가장 외곽에 자리한 Firewall과 Bastion Host등과 같은 역할을 수행하게 될 시스템이라 볼수 있다. 가장 강조된 포인트는 신뢰 가능한 ID와 그에 맞는 ROLE이다. 일반적으로 VPN 및 SSH bastion host 연결에 대한 접근 권한을 firewall을 통해 제어하게 되는데 이를 좀더 앞단에 계정을 가지고 제어한다라 보면 좋을듯 하다. 즉, Boundary를 통해 신뢰가능한 ID가 적당한 역할에 기반한 권한..

Introduction 아래 링크를 참고할것. mr100do.tistory.com/1051 installation 근래에는 package repo를 제공하고 있기에 해당 repo를 등록하여 설치하는 것을 권장한다. [root@vault-server ~]# dnf config-manager --add-repo https://rpm.releases.hashicorp.com/RHEL/hashicorp.repo Adding repo from: https://rpm.releases.hashicorp.com/RHEL/hashicorp.repo [root@vault-server ~]# dnf install -y boundary Hashicorp Stable - x86_64 7.9 kB/s | 1.4 kB 00:00 ..

Vault에 대한 설명은 아래 링크를 참고 https://mr100do.tistory.com/819 (WIP...) installation centos 8 혹은 RHEL 8 기반은 다음과 같은 명령을 통해 설치가 가능하다. [root@monitor ~]# dnf config-manager --add-repo https://rpm.releases.hashicorp.com/RHEL/hashicorp.repo Adding repo from: https://rpm.releases.hashicorp.com/RHEL/hashicorp.repo [root@monitor ~]# dnf install vault Hashicorp Stable - x86_64 157 kB/s | 232 kB 00:01 Dependencie..