Sécurité des conteneurs

La sécurité des conteneurs couvre tout le cycle de vie des conteneurs OCI (Docker, containerd, CRI-O). Au build, les équipes scannent les images à la recherche de CVE et de secrets, les signent avec Sigstore/Cosign et imposent des images de base minimales. À la distribution, les registres sont protégés par authentification et vérification de signatures. Au runtime, durcissement de l'hôte, isolation namespaces/cgroups, seccomp, AppArmor et systèmes de fichiers en lecture seule réduisent la surface d'attaque, tandis que les admission controllers et sondes eBPF appliquent les politiques et détectent les anomalies. Risques courants : conteneurs privilégiés, montages hostPath, couches de base vulnérables, secrets fuités et évasions via exploits kernel.