From dfa5c97491984bd9e7531ca4c36772467006be85 Mon Sep 17 00:00:00 2001 From: Nick Szaunig Date: Mon, 12 Oct 2026 09:41:34 +0200 Subject: [PATCH] fix(k8s): Wabenhain-Image per Tag und Digest pinnen Sicherheitsreview: ein Tag ist in der Registry ueberschreibbar. Tag plus Digest bleibt lesbar und unveraenderlich; Cluster auf denselben Stand gebracht, kubectl diff leer. Co-Authored-By: Claude Opus 5.5 (1M context) --- k8s/05-app-deployment.yaml | 8 +++++--- 1 file changed, 5 insertions(+), 3 deletions(-) diff --git a/k8s/05-app-deployment.yaml b/k8s/05-app-deployment.yaml index c9ab40f..14b5975 100644 --- a/k8s/05-app-deployment.yaml +++ b/k8s/05-app-deployment.yaml @@ -82,9 +82,11 @@ spec: # Fest auf einen Build gepinnt (Tag sha- aus der # Gitea-Pipeline), nie :latest: ein "rollout restart" holt damit # kein ungeprueftes neues Image. Neuer Build: - # kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha- - # und den Tag hier nachziehen. - image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f + # kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-@sha256: + # und hier nachziehen. Tag plus Digest: der Tag ist lesbar, der + # Digest macht das Image unveraenderlich (Tags lassen sich in der + # Registry ueberschreiben). + image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f@sha256:f2433b83f308a80c011844d30539cd798a60574b6065781145bd7638f35d8b12 imagePullPolicy: IfNotPresent securityContext: allowPrivilegeEscalation: false