Kaniko
devsecopsDéfinition
Outil Google permettant de builder des images Docker dans des environnements Kubernetes sans démon Docker ni privilèges root, sécurisant les builds CI/CD dans des pods.
Description
Kaniko build des images OCI dans des pods Kubernetes standard sans démon Docker ni --privileged, en utilisant un exécuteur en espace utilisateur qui monte les couches dans un snapshot du système de fichiers. Il est idéal pour les pipelines Tekton, GitLab CI et ArgoCD Workflow.
Mise en œuvre
Définir un pod Kaniko : image: gcr.io/kaniko-project/executor:latest avec les args --context=git://github.com/org/repo --dockerfile=Dockerfile --destination=registry/image:tag. Monter les credentials registry via Kubernetes Secret.
Points clés
- Cache Kaniko : stocker les couches intermediaires dans un registre OCI (
--cache=true) - Rootless par conception : aucun risque d'évasion de conteneur lié à docker.sock
- Support Dockerfile complet : multi-stage, ARG, COPY --from, etc.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis