Zweck

Dieses Beispiel ist ein kontrolliertes Docker-Lab. Es enthält absichtlich kleine Artefakte, damit Build-, Run-, Compose-, Security- oder Betriebsentscheidungen isoliert geprüft werden können.

Dokumentation

• Deutsch
• English

Dateien

• Dockerfile.hardened
• Dockerfile.insecure
• app/go.mod
• app/health.txt
• app/main.go
• app/start.sh
• commands.sh
• compose-risk.yaml
• notes.txt
• scenario.json
• seccomp-profile.json
• site/index.html
• run.sh

Lokale Prüfung

./run.sh

Das Skript führt statische Prüfungen aus, schreibt Evidence unter work/evidence/ und startet keine langfristigen Container.

Review-Fragen

• 1. Kontext und Zielzustand dokumentieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 2. Befehl trocken erklären: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 3. Ist-Zustand mit Inspect belegen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 4. Logs und Exit-Code sichern: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 5. Netzwerkpfad skizzieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 6. Volume-Lebenszyklus prüfen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 7. Image-Herkunft bewerten: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 8. Tag und Digest unterscheiden: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 9. Build-Cache begründen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 10. Rollback- oder Cleanup-Pfad notieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 11. Security-Auswirkung benennen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 12. Betriebsrisiko einstufen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 13. Kontext und Zielzustand dokumentieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 14. Befehl trocken erklären: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 15. Ist-Zustand mit Inspect belegen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 16. Logs und Exit-Code sichern: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 17. Netzwerkpfad skizzieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 18. Volume-Lebenszyklus prüfen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 19. Image-Herkunft bewerten: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 20. Tag und Digest unterscheiden: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 21. Build-Cache begründen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 22. Rollback- oder Cleanup-Pfad notieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 23. Security-Auswirkung benennen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 24. Betriebsrisiko einstufen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 25. Kontext und Zielzustand dokumentieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 26. Befehl trocken erklären: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 27. Ist-Zustand mit Inspect belegen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 28. Logs und Exit-Code sichern: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 29. Netzwerkpfad skizzieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 30. Volume-Lebenszyklus prüfen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 31. Image-Herkunft bewerten: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 32. Tag und Digest unterscheiden: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 33. Build-Cache begründen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 34. Rollback- oder Cleanup-Pfad notieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 35. Security-Auswirkung benennen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 36. Betriebsrisiko einstufen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 37. Kontext und Zielzustand dokumentieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 38. Befehl trocken erklären: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 39. Ist-Zustand mit Inspect belegen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 40. Logs und Exit-Code sichern: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 41. Netzwerkpfad skizzieren: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 42. Volume-Lebenszyklus prüfen: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 43. Image-Herkunft bewerten: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?
• 44. Tag und Digest unterscheiden: Wie zeigt dieses Beispiel die Entscheidung für Socket-Mounts, CI-Risiken und Schutzmaßnahmen?

Praxisanhang: Beispiel Docker Socket Risk

Dieser Anhang dient als Arbeitsvorrat für längere Trainings, Reviews und Wiederholungen. Jede Aufgabe ist absichtlich klein geschnitten, damit sie einzeln geprüft und diskutiert werden kann.

A001. Socket-Mounts, CI-Risiken und Schutzmaßnahmen

• Arbeitsauftrag: Kontext und Zielzustand dokumentieren und beziehe die Beobachtung ausdrücklich auf Socket-Mounts, CI-Risiken und Schutzmaßnahmen.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A002. Dockerfile

• Arbeitsauftrag: Befehl trocken erklären und beziehe die Beobachtung ausdrücklich auf Dockerfile.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A003. Compose

• Arbeitsauftrag: Ist-Zustand mit Inspect belegen und beziehe die Beobachtung ausdrücklich auf Compose.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A004. Image

• Arbeitsauftrag: Logs und Exit-Code sichern und beziehe die Beobachtung ausdrücklich auf Image.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A005. Container

• Arbeitsauftrag: Netzwerkpfad skizzieren und beziehe die Beobachtung ausdrücklich auf Container.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A006. Netzwerk

• Arbeitsauftrag: Volume-Lebenszyklus prüfen und beziehe die Beobachtung ausdrücklich auf Netzwerk.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A007. Volume

• Arbeitsauftrag: Image-Herkunft bewerten und beziehe die Beobachtung ausdrücklich auf Volume.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A008. Security

• Arbeitsauftrag: Tag und Digest unterscheiden und beziehe die Beobachtung ausdrücklich auf Security.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A009. Cleanup

• Arbeitsauftrag: Build-Cache begründen und beziehe die Beobachtung ausdrücklich auf Cleanup.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A010. Socket-Mounts, CI-Risiken und Schutzmaßnahmen

• Arbeitsauftrag: Rollback- oder Cleanup-Pfad notieren und beziehe die Beobachtung ausdrücklich auf Socket-Mounts, CI-Risiken und Schutzmaßnahmen.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A011. Dockerfile

• Arbeitsauftrag: Security-Auswirkung benennen und beziehe die Beobachtung ausdrücklich auf Dockerfile.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A012. Compose

• Arbeitsauftrag: Betriebsrisiko einstufen und beziehe die Beobachtung ausdrücklich auf Compose.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A013. Image

• Arbeitsauftrag: Kontext und Zielzustand dokumentieren und beziehe die Beobachtung ausdrücklich auf Image.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A014. Container

• Arbeitsauftrag: Befehl trocken erklären und beziehe die Beobachtung ausdrücklich auf Container.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A015. Netzwerk

• Arbeitsauftrag: Ist-Zustand mit Inspect belegen und beziehe die Beobachtung ausdrücklich auf Netzwerk.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A016. Volume

• Arbeitsauftrag: Logs und Exit-Code sichern und beziehe die Beobachtung ausdrücklich auf Volume.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A017. Security

• Arbeitsauftrag: Netzwerkpfad skizzieren und beziehe die Beobachtung ausdrücklich auf Security.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A018. Cleanup

• Arbeitsauftrag: Volume-Lebenszyklus prüfen und beziehe die Beobachtung ausdrücklich auf Cleanup.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A019. Socket-Mounts, CI-Risiken und Schutzmaßnahmen

• Arbeitsauftrag: Image-Herkunft bewerten und beziehe die Beobachtung ausdrücklich auf Socket-Mounts, CI-Risiken und Schutzmaßnahmen.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A020. Dockerfile

• Arbeitsauftrag: Tag und Digest unterscheiden und beziehe die Beobachtung ausdrücklich auf Dockerfile.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A021. Compose

• Arbeitsauftrag: Build-Cache begründen und beziehe die Beobachtung ausdrücklich auf Compose.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A022. Image

• Arbeitsauftrag: Rollback- oder Cleanup-Pfad notieren und beziehe die Beobachtung ausdrücklich auf Image.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A023. Container

• Arbeitsauftrag: Security-Auswirkung benennen und beziehe die Beobachtung ausdrücklich auf Container.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A024. Netzwerk

• Arbeitsauftrag: Betriebsrisiko einstufen und beziehe die Beobachtung ausdrücklich auf Netzwerk.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A025. Volume

• Arbeitsauftrag: Kontext und Zielzustand dokumentieren und beziehe die Beobachtung ausdrücklich auf Volume.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A026. Security

• Arbeitsauftrag: Befehl trocken erklären und beziehe die Beobachtung ausdrücklich auf Security.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A027. Cleanup

• Arbeitsauftrag: Ist-Zustand mit Inspect belegen und beziehe die Beobachtung ausdrücklich auf Cleanup.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A028. Socket-Mounts, CI-Risiken und Schutzmaßnahmen

• Arbeitsauftrag: Logs und Exit-Code sichern und beziehe die Beobachtung ausdrücklich auf Socket-Mounts, CI-Risiken und Schutzmaßnahmen.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A029. Dockerfile

• Arbeitsauftrag: Netzwerkpfad skizzieren und beziehe die Beobachtung ausdrücklich auf Dockerfile.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A030. Compose

• Arbeitsauftrag: Volume-Lebenszyklus prüfen und beziehe die Beobachtung ausdrücklich auf Compose.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A031. Image

• Arbeitsauftrag: Image-Herkunft bewerten und beziehe die Beobachtung ausdrücklich auf Image.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A032. Container

• Arbeitsauftrag: Tag und Digest unterscheiden und beziehe die Beobachtung ausdrücklich auf Container.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A033. Netzwerk

• Arbeitsauftrag: Build-Cache begründen und beziehe die Beobachtung ausdrücklich auf Netzwerk.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A034. Volume

• Arbeitsauftrag: Rollback- oder Cleanup-Pfad notieren und beziehe die Beobachtung ausdrücklich auf Volume.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A035. Security

• Arbeitsauftrag: Security-Auswirkung benennen und beziehe die Beobachtung ausdrücklich auf Security.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A036. Cleanup

• Arbeitsauftrag: Betriebsrisiko einstufen und beziehe die Beobachtung ausdrücklich auf Cleanup.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A037. Socket-Mounts, CI-Risiken und Schutzmaßnahmen

• Arbeitsauftrag: Kontext und Zielzustand dokumentieren und beziehe die Beobachtung ausdrücklich auf Socket-Mounts, CI-Risiken und Schutzmaßnahmen.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A038. Dockerfile

• Arbeitsauftrag: Befehl trocken erklären und beziehe die Beobachtung ausdrücklich auf Dockerfile.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A039. Compose

• Arbeitsauftrag: Ist-Zustand mit Inspect belegen und beziehe die Beobachtung ausdrücklich auf Compose.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A040. Image

• Arbeitsauftrag: Logs und Exit-Code sichern und beziehe die Beobachtung ausdrücklich auf Image.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A041. Container

• Arbeitsauftrag: Netzwerkpfad skizzieren und beziehe die Beobachtung ausdrücklich auf Container.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

A042. Netzwerk

• Arbeitsauftrag: Volume-Lebenszyklus prüfen und beziehe die Beobachtung ausdrücklich auf Netzwerk.
• Nachweis: Notiere mindestens einen Docker-Befehl, eine erwartete Ausgabe und eine Grenze der Aussagekraft.
• Betriebsfrage: Welche Auswirkung hätte eine falsche Annahme in einem CI-Runner, auf einem Entwicklergerät und auf einem gemeinsam genutzten Host?
• Security-Frage: Welche Berechtigung, welches Secret oder welcher Host-Pfad wäre in diesem Schritt besonders kritisch?
• Rückbau: Beschreibe, welche Container, Images, Netzwerke, Volumes oder temporären Dateien wieder entfernt werden müssen.

Zusätzliche Review-Drills

Nutze diese Drills, wenn die Hauptaufgabe abgeschlossen ist und zusätzliche betriebliche Begründung geübt werden soll. Sie sind bewusst nachweisorientiert und benötigen keine erfundenen Plattformannahmen.

Drill 01: Image-Herkunft

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Image-Herkunft betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 02: Build Context

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Build Context betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 03: Layer-Reihenfolge

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Layer-Reihenfolge betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 04: Container-User

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Container-User betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 05: Mounts und Volumes

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Mounts und Volumes betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 06: Bridge-Netzwerk

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Bridge-Netzwerk betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 07: Port-Veröffentlichung

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Port-Veröffentlichung betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 08: Compose-Konfiguration

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Compose-Konfiguration betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 09: Daemon-Socket

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Daemon-Socket betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 10: Registry-Zugriff

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Registry-Zugriff betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 11: Rootless Mode

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Rootless Mode betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 12: Seccomp und Capabilities

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Seccomp und Capabilities betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 13: Logs und Events

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Logs und Events betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 14: Cleanup und Rückbau

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Cleanup und Rückbau betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 15: Image-Herkunft

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Image-Herkunft betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.

Drill 16: Build Context

• Benenne, welches Docker-Objekt oder welche Host-Grenze durch Build Context betroffen ist.
• Nenne einen Befehl, der einen Nachweis liefert, und ein relevantes Feld in der Ausgabe.
• Erkläre, was aus diesem Nachweis folgt und was daraus nicht folgt.
• Beschreibe den sichersten Rückbaupfad für einen gemeinsam genutzten Trainingshost.