wbsong111
6bdea97e51
cloudnative-pg·cnpg-postgresql·etcd 를 REGISTRY=docker.io/paasup 로 재빌드해 verify.sh·게이트(커버리지 ok, 실효 C/H 0/0, PASS) 확인 후 push, docker manifest inspect 로 레지스트리 존재를 재확인했다. 기존 참조(docker.io/wbsong111, 이전 security-catalog 빌드)는 dip-catalog 자체 파이프라인으로 검증된 적이 없었다. 카탈로그 values(custom-values.yaml/dip-values.yaml)를 patch-catalog-tag.py 로 새 태그로 교체하고 helm template·extract-helm-images.sh 로 렌더링 결과를 재확인했다. 로컬 docker 계정은 paasup push 권한이 확인됐으나 GitHub Actions 시크릿(DOCKERHUB_USER/TOKEN)의 권한은 별도 확인이 필요하다(MEMORY.md). Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
96 lines
6.2 KiB
Markdown
96 lines
6.2 KiB
Markdown
# cloudnative-pg — CloudNativePG 오퍼레이터 자체 빌드
|
|
|
|
CNPG 오퍼레이터(컨트롤러) 이미지를 업스트림 소스에서 직접 컴파일한다.
|
|
`manifests/helm/cloudnative-pg/0.29.0/custom-values.yaml`·`dip-values.yaml` 의
|
|
`image.repository`/`image.tag` 가 이 산출물을 가리킨다.
|
|
|
|
security-catalog 프로젝트에서 포팅했다. 목표 정의·CVE 조사 실측·이미지 채택 결정
|
|
근거(각각 `doc/cve-zero-pipeline.md`, `doc/analysis/cloudnative-pg-operator-cve.md`,
|
|
`doc/decisions/0005-cloudnative-pg-operator-self-build.md`)는 security-catalog 프로젝트에
|
|
있고 dip-catalog 에는 아직 이관되지 않았다 — 신규 자체 빌드 이미지 추가 절차 전반은
|
|
[.claude/image-authoring.md](../../.claude/image-authoring.md) 참고.
|
|
|
|
> **자체 빌드는 대응 우선순위 3번이다.** 상위 태그 교체·베이스 OS 교체로 목표를
|
|
> 만족할 수 있으면 그 쪽을 쓴다. 자체 빌드는 업스트림 서명·provenance·SBOM attestation 을
|
|
> 잃고 재빌드 책임을 지는 선택이다.
|
|
|
|
## 왜 자체 빌드하나 — 그리고 왜 `cnpg-postgresql` 과 다른 방법인가
|
|
|
|
업스트림 `ghcr.io/cloudnative-pg/cloudnative-pg:1.30.0` 은 실효 HIGH 3건
|
|
(`CVE-2026-39822` stdlib, `CVE-2026-56852` `golang.org/x/text`, `GHSA-hrxh-6v49-42gf`
|
|
`google.golang.org/grpc`)으로 차단된다. 상위 태그가 없다(2026-07-30 확인, 최신 릴리스가
|
|
여전히 `v1.30.0`). 업스트림 배포 이미지 베이스가 `gcr.io/distroless/static-debian13`
|
|
(OS 패키지 사실상 0개)라 **베이스 OS 를 바꾸는 것만으로는 고쳐지지 않는다** — CVE 는
|
|
바이너리에 정적 링크된 Go 모듈 버전이 원인이다. 자체 빌드(소스 컴파일)만 유효한 대응이다.
|
|
|
|
`cnpg-postgresql`(OS 베이스 교체 + zypper 패치)과 성격이 다르지만, **오케스트레이션은
|
|
동일한 [scripts/build/build-hardened-image.sh](../../scripts/build/build-hardened-image.sh)
|
|
하나를 공유한다.** 이 이미지가 그 스크립트의 계약(`build.env` 가 `DOCKERFILE`·`TARGET`·
|
|
`BUILD_ARGS`·`APP_VERSION` 선언, `verify.sh` 가 `VERIFY-OK` 로 종료)만 지키면, 이미지
|
|
종류(OS 패키지 설치형 vs 소스 컴파일형)는 스크립트가 몰라도 된다 — 근거는
|
|
[.claude/image-authoring.md](../../.claude/image-authoring.md) 참고.
|
|
|
|
## 소스·버전 관리
|
|
|
|
| 항목 | 값 |
|
|
| --- | --- |
|
|
| 소스 | `https://github.com/cloudnative-pg/cloudnative-pg.git` |
|
|
| pinned commit | `source.build.env` 의 `SOURCE_COMMIT` (release-1.30 브랜치) |
|
|
| 빌더 | 공식 `golang` 이미지 (`source.build.env` 의 `GO_BUILDER_TAG`, go.mod 요구 버전과 일치) |
|
|
| 최종 베이스 | `registry.suse.com/bci/bci-micro:15.7` — security-catalog 는 SUSE BCI 하나만 쓰기로 결정했다(ADR 미이관); 업스트림의 distroless 대신 여기 적용 |
|
|
|
|
빌더 스테이지(Go 컴파일)는 공식 `golang` 이미지를 그대로 쓴다 — 최종 이미지에 남는 것이
|
|
아니라 컴파일 산출물만 최종 스테이지로 넘어오므로 스캔·정책 대상이 아니다. `bci-micro`
|
|
는 SUSE BCI 중 가장 가벼운 변종이지만 `bci-base` 와 달리 `nonroot`(uid 65532) 계정이
|
|
미리 없어 `source.Dockerfile` 이 직접 만든다(`/etc/passwd`·`/etc/group` 에 추가).
|
|
|
|
`SOURCE_COMMIT` 은 **자동 추적하지 않는다.** `cnpg-postgresql` 의 PGDG 버전처럼 사람이
|
|
업스트림 `release-1.30` 브랜치(또는 그다음 패치 릴리스가 나오면 그 태그)를 보고
|
|
`source.build.env` 를 고쳐 PR 을 여는 것 자체가 갱신 트리거다.
|
|
|
|
**권장 점검 주기**: 카탈로그 게이트가 이 이미지의 차단 CVE 를 다시 보고할 때, 또는
|
|
업스트림이 `v1.30.1`(혹은 그 이상) 을 릴리스했을 때 — 릴리스가 나오면 그쪽으로 갈아타는
|
|
것(대응 우선순위 a)이 이 자체 빌드를 유지하는 것보다 항상 우선이다.
|
|
|
|
## 빌드
|
|
|
|
```sh
|
|
# 로컬 빌드 (push 없음)
|
|
IMAGE=cloudnative-pg BASE_OS=source bash scripts/build/build-hardened-image.sh /tmp/out
|
|
|
|
# 레지스트리에 push 까지 (현재 실제 배포 이미지도 이 네임스페이스에 있다)
|
|
IMAGE=cloudnative-pg BASE_OS=source REGISTRY=docker.io/wbsong111 \
|
|
bash scripts/build/build-hardened-image.sh /tmp/out
|
|
```
|
|
|
|
수행 순서: **빌드 → 기능 검증(`verify.sh`) → SBOM → 전 심각도 스캔 → 게이트 판정.**
|
|
`scan-sbom.sh` 의 커버리지 자가진단(`CoverageProbe`)까지 포함한다 — `doc/sbom-pipeline.md`
|
|
참고. dip-catalog 로컬 빌드 실측(2026-08-03): 커버리지 `ok`, 실효 C/H 0/0, 게이트
|
|
PASS(`localhost/...` 태그, push 는 아직 안 함 — `MEMORY.md` 참고). `verify.sh` 는
|
|
`manager version` 출력에 pinned
|
|
commit 이 실제로 반영됐는지(ldflags 주입 확인), 이미지 `Config.User` 가
|
|
`65532:65532`(nonroot)인지, `--help` 가 정상 종료하는지를 확인한다 — 실제 컨트롤러
|
|
기동(k8s API 필요)은 이 스모크 테스트 범위 밖이며, dev 클러스터 배포 테스트
|
|
(`.claude/deploy-test-procedure.md`)가 담당한다.
|
|
|
|
### 파일 구성
|
|
|
|
| 파일 | 역할 |
|
|
| --- | --- |
|
|
| `source.Dockerfile` | 빌드 정의 — 소스 컴파일(builder 스테이지) + SUSE BCI(`bci-micro`) 패키징(final 스테이지) |
|
|
| `source.build.env` | pinned commit·버전·빌더 이미지 태그. `BUILD_ARGS` 에 나열한 이름만 `--build-arg` 로 전달된다 |
|
|
| `verify.sh` | 기능 검증. 호스트에서 bash 로 실행되며 직접 `docker run --entrypoint /manager` 를 호출한다(게스트 스크립트 주입 방식보다 상위 호환 — 최종 이미지에 셸이 없는 경우에도 그대로 동작한다) |
|
|
|
|
베이스 변종이 하나뿐이라 파일명이 `source.*` 로 고정돼 있다 — `cnpg-postgresql` 처럼
|
|
변종이 늘면 `<variant>.Dockerfile`/`<variant>.build.env` 로 분기한다.
|
|
|
|
### 태그
|
|
|
|
```
|
|
docker.io/wbsong111/cloudnative-pg:1.30.0-security-hardened-20260730
|
|
└ app ─┘└ 슬러그 ┘└ 하드닝 ┘└ 빌드일 ┘
|
|
```
|
|
|
|
이 태그는 security-catalog 프로젝트에서 이미 빌드·게이트 PASS·push 된 실제 이미지다.
|
|
dip-catalog 는 이를 그대로 재사용한다 — 재빌드·재푸시 여부는 `MEMORY.md` 참고.
|