Nick.Rosenloecher/Wabenhain
1
1 Fork 0
Code Issues 18 Pull Requests Actions 1 Packages Projects Releases Wiki Activity

fix(k8s): Wabenhain-Image per Tag und Digest pinnen
Docker Image bauen und veroeffentlichen / build-and-push (push) Canceled after 0s
Details

Browse Source 
Sicherheitsreview: ein Tag ist in der Registry ueberschreibbar. Tag plus
Digest bleibt lesbar und unveraenderlich; Cluster auf denselben Stand
gebracht, kubectl diff leer.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
This commit is contained in:
Nick SzaunigandClaude Opus 5.5 committed 2026-10-12 09:41:34 +02:00
1 parent eda2c11fe3
commit dfa5c97491
1 file changed
+5 -3
Download Patch File Download Diff File Expand all files Collapse all files
k8s/05-app-deployment.yaml
+5 -3
View File
@@ -82,9 +82,11 @@ spec:
# Fest auf einen Build gepinnt (Tag sha-<kurzer Commit> aus der # Fest auf einen Build gepinnt (Tag sha-<kurzer Commit> aus der
# Gitea-Pipeline), nie :latest: ein "rollout restart" holt damit # Gitea-Pipeline), nie :latest: ein "rollout restart" holt damit
# kein ungeprueftes neues Image. Neuer Build: # kein ungeprueftes neues Image. Neuer Build:
# kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-<commit> # kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-<commit>@sha256:<digest>
# und den Tag hier nachziehen. # und hier nachziehen. Tag plus Digest: der Tag ist lesbar, der
image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f # Digest macht das Image unveraenderlich (Tags lassen sich in der
# Registry ueberschreiben).
image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f@sha256:f2433b83f308a80c011844d30539cd798a60574b6065781145bd7638f35d8b12
imagePullPolicy: IfNotPresent imagePullPolicy: IfNotPresent
securityContext: securityContext:
allowPrivilegeEscalation: false allowPrivilegeEscalation: false