Linux Capabilities - CI/CD用語集の定義
Linux capability は、root の権限を個別に付与または削除できる別々の単位 (CAP_NET_BIND_SERVICE や CAP_SYS_ADMIN など) に分割します。container runtime はデフォルトでほとんどの capability を削除します。
最小権限
container を完全な root として実行する代わりに、タスクが必要とする特定の capability だけを付与します。--cap-drop で未使用の capability を削除すると、CI の build container の攻撃対象領域が縮小します。
関連ガイド
Privileged Container - CI/CD Glossary DefinitionPrivileged Container: A privileged container runs with `--privileged`, granting nearly all host kernel capabi…
seccomp - CI/CD Glossary Definitionseccomp: seccomp (secure computing mode) is a Linux kernel feature that filters which system calls a process…
Rootless Container - CI/CD Glossary DefinitionRootless Container: A rootless container runs the container engine and workload as an unprivileged user by ma…