Mobile-Menu

Minimal gehaltene Containerbasis Chainguard Images für kontrollierte Softwarelieferketten

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
Kentix GmbH
DeRZ - Deutsche Rechenzentren GmbH

„Chainguard Images“ bilden eine umfangreiche Sammlung sicherheitsfokussierter Container, die auf ein reduziertes Angriffsprofil und reproduzierbare Build-Prozesse ausgerichtet ist. Die Images laufen auf dem „Wolfi Un-Distro“ und nutzen ein Paketökosystem, das aktuelle Quellen in kurzen Intervallen liest. „Alpine“-basierte Varianten stehen parallel als „glibc“-basierte Wolfi-Pendants mit dem Tag „latest-glibc“ zur Verfügung.

Der Autor, Thomas Joos, beschäftigt sich in dem Artikel damit, wie sich „Chainguard Images“ sinnvoll im Netzwerk einsetzen lassen. (Bild: Thomas Joos)
Der Autor, Thomas Joos, beschäftigt sich in dem Artikel damit, wie sich „Chainguard Images“ sinnvoll im Netzwerk einsetzen lassen.
(Bild: Thomas Joos)

Chainguard Images bringt Struktur für deklarative Builds in Containerumgebungen. „apko“ bündelt Pakete aus definierten Quellen in einem „OCI“-kompatiblen Image.

„melange“ erzeugt APKs, Absolute Key Permutation, über „YAML“-Pipelines, die im Vergleich zu herkömmlichen Build-Methoden eine Kontrolle über Abhängigkeiten liefern. Diese Kombination ermöglicht reproduzierbare Artefakte und eine nachvollziehbare Herkunft.

Der Zugriff erfolgt über das zentrale Registry-Endpoint cgr.dev. Nach einem Pull steht das jeweilige Image unmittelbar einsatzbereit im lokalen Containerumfeld.

Minimale Abhängigkeiten

Ein zentraler Fokus liegt auf minimalen Abhängigkeiten. Viele Images folgen einem distroless-Aufbau und enthalten ausschließlich die tatsächlichen Laufzeitkomponenten der jeweiligen Anwendung. Shells und Paketmanager fehlen, wodurch das Angriffsprofil kleiner ausfällt als bei klassischen Distributionen. Für statische oder dynamisch gelinkte Anwendungen stehen passende Basisimages wie static oder glibc-dynamic bereit.

Die Umgebung eignet sich für kompakte Builds aus C, C++, Go, Java, Python, Node oder Ruby. Für Compiler, Werkzeuge und Middleware existieren spezialisierte Images wie gcc-glibc, jdk, bazel, nginx, git, kubectl, apko und melange,

Die gesamte Sammlung enthält Signaturen über „Sigstore“. cosign prüft die Zuordnung des Images zu einem definierten Release-Workflow in „Github Actions“. Die Signatur bestätigt die Herkunft aus dem Hauptzweig des Projekts.

Parallel erzeugt die Build-Kette ein SBOM im SPDX-Format. Die SBOM umfasst alle enthaltenen Pakete und erleichtert eine Analyse der Softwarezusammensetzung. cosign lädt die passenden Attestierungen ab, sofern die Plattform richtig gesetzt ist, da sonst nur der Manifestinhalt verfügbar ist.

(ID:50640256)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte