Linux Capabilities - Definicao do Glossario CI/CD
As capabilities do Linux dividem os privilegios do root em unidades distintas (como CAP_NET_BIND_SERVICE ou CAP_SYS_ADMIN) que podem ser concedidas ou removidas individualmente. Os runtimes de container removem a maioria das capabilities por padrao.
Menor privilegio
Em vez de rodar um container como root completo, conceda apenas a capability especifica que uma tarefa precisa. Remover capabilities nao usadas com --cap-drop reduz a superficie de ataque dos containers de build do CI.
Guias relacionados
Privileged Container - CI/CD Glossary DefinitionPrivileged Container: A privileged container runs with `--privileged`, granting nearly all host kernel capabi…
seccomp - CI/CD Glossary Definitionseccomp: seccomp (secure computing mode) is a Linux kernel feature that filters which system calls a process…
Rootless Container - CI/CD Glossary DefinitionRootless Container: A rootless container runs the container engine and workload as an unprivileged user by ma…