Helm Security
devsecopsDéfinition
Bonnes pratiques Helm : validation des charts via helm lint et chart-testing, scan avec Trivy, signature des charts, valeurs par défaut sécurisées et évitement des privileges élevés.
Description
Les charts Helm doivent être validés (helm lint, helm template | conftest test), scannés pour les misconfigurations Kubernetes (Trivy config, Polaris), signés via helm package --sign avec GPG, et leurs valeurs par défaut doivent suivre le principe du moindre privilège (pas de hostNetwork, pas de privileged).
Mise en œuvre
Intégrer helm lint --strict chart/ et trivy config chart/ dans le pipeline CI. Vérifier la signature avant installation : helm install --verify mychart. Stocker les charts dans Harbor avec scan intégré.
Points clés
- Chart-testing (ct) : lint et test sur toutes les versions Kubernetes cibles
- Valeurs de production : surcharger les defaults via values-prod.yaml versionné
- OCI charts : stocker dans les registres OCI (Harbor, GHCR) plutôt qu'en HTTP
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis