Nick.Rosenloecher/Artista-Filmcamp
1
0 Fork 0
Code Issues 13 Pull Requests Actions Packages Projects Releases Wiki Activity

fix(security): SMB-Volumes verschluesselt und minimal berechtigt
Docker-Images bauen und veroeffentlichen / build-and-push (push) Successful in 1m40s
Details

Browse Source 
Befunde des Commit-Security-Reviews behoben:
- Klartextuebertragung: vers=3.1.1 mit "seal" (SMB3-Verschluesselung)
  fuer Medien- und Backup-Volume.
- Rueckschritt Zugriffskontrolle: Backup-PV/PVC wieder ReadWriteOnce statt
  ReadWriteMany (nur der Backup-Job haengt es ein).
- Zu weite Rechte: Medien-Volume nur lesbar (dir_mode 0550, file_mode
  0440); geschrieben wird ausschliesslich ueber das NAS.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
This commit is contained in:
Nick SzaunigandClaude Opus 5.5 committed 2026-09-27 20:14:44 +02:00
1 parent a7c11ccbd0
commit 7a60af9cd4
2 files changed
+8 -8
Download Patch File Download Diff File Expand all files Collapse all files

No files matched your search

k8s/overlays/production/kustomization.yaml
-3
View File
@@ -40,9 +40,6 @@ patches:
- op: add - op: add
path: /spec/volumeName path: /spec/volumeName
value: artista-modelcamp-db-backup-smb value: artista-modelcamp-db-backup-smb
- op: replace
path: /spec/accessModes
value: ["ReadWriteMany"]
- target: { kind: ConfigMap, name: artista-modelcamp-config } - target: { kind: ConfigMap, name: artista-modelcamp-config }
patch: |- patch: |-
- op: replace - op: replace
k8s/overlays/production/smb-volumes.yaml
+8 -5
View File
@@ -33,11 +33,12 @@ spec:
persistentVolumeReclaimPolicy: Retain persistentVolumeReclaimPolicy: Retain
storageClassName: "" storageClassName: ""
mountOptions: mountOptions:
- vers=3.0 - vers=3.1.1
- seal # SMB3-Verschluesselung: keine Klartextdaten im Netz
- uid=1001 # Containerbenutzer "nextjs" (Dockerfile) - uid=1001 # Containerbenutzer "nextjs" (Dockerfile)
- gid=1001 - gid=1001
- dir_mode=0770 - dir_mode=0550 # App liest nur; Schreiben ausschliesslich ueber das NAS
- file_mode=0660 - file_mode=0440
- mfsymlinks - mfsymlinks
- nobrl - nobrl
csi: csi:
@@ -58,11 +59,13 @@ metadata:
spec: spec:
capacity: capacity:
storage: 10Gi storage: 10Gi
accessModes: ["ReadWriteMany"] # ReadWriteOnce: nur der Backup-Job haengt dieses Volume ein.
accessModes: ["ReadWriteOnce"]
persistentVolumeReclaimPolicy: Retain persistentVolumeReclaimPolicy: Retain
storageClassName: "" storageClassName: ""
mountOptions: mountOptions:
- vers=3.0 - vers=3.1.1
- seal # SMB3-Verschluesselung: keine Klartextdaten im Netz
- uid=70 # Benutzer "postgres" im pg_dump-Job (postgres:18-alpine) - uid=70 # Benutzer "postgres" im pg_dump-Job (postgres:18-alpine)
- gid=70 - gid=70
- dir_mode=0700 # Sicherungen enthalten personenbezogene Daten - dir_mode=0700 # Sicherungen enthalten personenbezogene Daten