1. 14:05 12/08/2026
CẢNH BÁO THỰC TẾ
Container không tự tạo ra isolation hoàn hảo. Image nền cũ, package thừa, credential được copy vào layer, chạy root hoặc tag latest làm tăng rủi ro mà nhiều pipeline không nhìn thấy. Khi image đã phát hành, nó có thể được nhân bản qua registry và môi trường khác trong thời gian dài.
Checklist xây dựng và vận hành:
1. Chọn base image được duy trì, theo dõi digest cụ thể thay vì tag mơ hồ; cập nhật theo quy trình có test và inventory.
2. Dùng multi-stage build, đưa vào runtime chỉ artifact cần thiết; loại bỏ compiler, package manager, shell và debug tool nếu không cần.
3. Không COPY file .env, private key, credential cloud hoặc token build vào image. Dùng secret mount/build secret an toàn và kiểm tra layer trước khi phát hành.
4. Chạy process bằng non-root user, filesystem read-only khi phù hợp, giảm Linux capability và đặt resource limit.
5. Quét image cho CVE là cần nhưng chưa đủ: kiểm tra package không dùng, cấu hình runtime, provenance/chữ ký artifact và quyền registry.
Khi cần debug production, dùng quy trình access tạm thời được phê duyệt thay vì để sẵn shell/quyền root trong mọi container. Mỗi ngoại lệ phải có owner, lý do và ngày hết hạn.