# /etc/sudoers.d/podman-roles
# コンテナ管理者: フル権限
%container-admins ALL=(ALL) NOPASSWD: /usr/bin/podman

# 開発者: 実行・ログ閲覧のみ
%developers ALL=(ALL) NOPASSWD: /usr/bin/podman run *, \
                                /usr/bin/podman exec *, \
                                /usr/bin/podman logs *

# 運用者: 管理コマンドのみ
%operators ALL=(ALL) NOPASSWD: /usr/bin/podman ps, \
                               /usr/bin/podman stop *, \
                               /usr/bin/podman start *

#!/bin/bash
# enable-fips.sh - FIPS 140-2モード有効化

# 1. FIPSパッケージのインストール
sudo dnf install -y dracut-fips openssl

# 2. カーネルパラメータの設定
sudo fips-mode-setup --enable

# 3. 再起動
sudo reboot

# 4. FIPS状態確認
cat /proc/sys/crypto/fips_enabled
# 出力: 1 （有効）

# 5. Podmanでの確認
podman info | grep -i fips
# fips: true

#!/bin/bash
# security-scan.sh - コンテナイメージのセキュリティスキャン

scan_image() {
    local image=$1
    local severity_threshold=${2:-HIGH}
    
    echo "スキャン中: $image"
    
    # Trivyスキャン実行
    trivy image --severity $severity_threshold \
                --format json \
                --output scan-results.json \
                $image
    
    # 結果の解析
    if [ -s scan-results.json ]; then
        vulnerabilities=$(jq '.Results[].Vulnerabilities | length' scan-results.json | awk '{sum+=$1} END {print sum}')
        
        if [ "$vulnerabilities" -gt 0 ]; then
            echo "⚠️  脆弱性が検出されました: $vulnerabilities 件"
            return 1
        else
            echo "✅ 脆弱性は検出されませんでした"
            return 0
        fi
    fi
}

# CI/CDパイプラインでの使用例
for image in $(podman images --format "\{\{.Repository\}\}:\{\{.Tag\}\}" | grep -v "<none>"); do
    scan_image $image || exit 1
done

# /etc/audit/rules.d/podman.rules
# Podmanコマンド実行の監査
-a always,exit -F path=/usr/bin/podman -F perm=x -k podman_exec

# コンテナランタイムの監査
-a always,exit -F path=/usr/bin/crun -F perm=x -k container_runtime
-a always,exit -F path=/usr/bin/conmon -F perm=x -k container_monitor

# コンテナストレージへのアクセス
-w /var/lib/containers/ -p wa -k container_storage
-w /home/*/.local/share/containers/ -p wa -k user_container_storage

# イメージレジストリ認証
-w /run/user/*/containers/auth.json -p wa -k registry_auth

#!/bin/bash
# compliance-check.sh - エンタープライズコンプライアンスチェック

echo "=== Podmanコンプライアンスチェック ==="
echo ""

# チェック項目と結果を格納
declare -A checks

# 1. FIPSモード確認
if [ "$(cat /proc/sys/crypto/fips_enabled)" = "1" ]; then
    checks["FIPS 140-2"]="✓ 有効"
else
    checks["FIPS 140-2"]="✗ 無効"
fi

# 2. SELinux確認
if [ "$(getenforce)" = "Enforcing" ]; then
    checks["SELinux"]="✓ Enforcing"
else
    checks["SELinux"]="✗ $(getenforce)"
fi

# 3. 監査デーモン確認
if systemctl is-active auditd >/dev/null 2>&1; then
    checks["監査ログ"]="✓ 有効"
else
    checks["監査ログ"]="✗ 無効"
fi

# 4. rootlessモード確認
if podman info | grep -q "rootless: true"; then
    checks["Rootlessモード"]="✓ 有効"
else
    checks["Rootlessモード"]="✗ 無効"
fi

# 5. 暗号化ストレージ確認
if lsblk -o NAME,FSTYPE | grep -q "crypto_LUKS"; then
    checks["ディスク暗号化"]="✓ 有効"
else
    checks["ディスク暗号化"]="⚠ 確認必要"
fi

# レポート出力
echo "コンプライアンスステータス:"
echo "=========================="
for check in "${!checks[@]}"; do
    printf "%-20s: %s\n" "$check" "${checks[$check]}"
done

#!/bin/bash
# ha-podman-setup.sh - 高可用性Podman環境構築

# Keepalivedによる仮想IP設定
cat > /etc/keepalived/keepalived.conf << EOF
vrrp_instance PODMAN_HA {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 100
    advert_int 1
    
    authentication {
        auth_type PASS
        auth_pass podman123
    }
    
    virtual_ipaddress {
        192.168.1.100/24
    }
    
    track_script {
        check_podman
    }
}

vrrp_script check_podman {
    script "/usr/local/bin/check-podman-health.sh"
    interval 5
    weight -10
}
EOF

# ヘルスチェックスクリプト
cat > /usr/local/bin/check-podman-health.sh << 'EOF'
#!/bin/bash
# Podmanサービスの健全性チェック

# 1. Podmanデーモン（API）の確認
if ! curl -s --unix-socket /run/podman/podman.sock http://localhost/v1.0.0/libpod/info >/dev/null; then
    exit 1
fi

# 2. 重要なコンテナの確認
critical_containers=("web-app" "database" "cache")
for container in "${critical_containers[@]}"; do
    if ! podman healthcheck run $container >/dev/null 2>&1; then
        exit 1
    fi
done

exit 0
EOF

chmod +x /usr/local/bin/check-podman-health.sh

#!/bin/bash
# backup-restore.sh - Podman環境のバックアップとリストア

backup_podman_environment() {
    local backup_dir="/backup/podman/$(date +%Y%m%d_%H%M%S)"
    mkdir -p $backup_dir
    
    echo "バックアップ開始: $backup_dir"
    
    # 1. 実行中のコンテナ情報
    podman ps -a --format json > $backup_dir/containers.json
    
    # 2. イメージのエクスポート
    mkdir -p $backup_dir/images
    for image in $(podman images --format "\{\{.Repository\}\}:\{\{.Tag\}\}" | grep -v "<none>"); do
        safe_name=$(echo $image | tr '/:' '_')
        podman save -o $backup_dir/images/${safe_name}.tar $image
    done
    
    # 3. ボリュームのバックアップ
    mkdir -p $backup_dir/volumes
    for volume in $(podman volume ls -q); do
        volume_path=$(podman volume inspect $volume --format '\{\{.Mountpoint\}\}')
        tar czf $backup_dir/volumes/${volume}.tar.gz -C $(dirname $volume_path) $(basename $volume_path)
    done
    
    # 4. 設定ファイル
    tar czf $backup_dir/configs.tar.gz \
        /etc/containers \
        ~/.config/containers \
        /etc/systemd/system/podman-*.service
    
    echo "バックアップ完了: $backup_dir"
}

restore_podman_environment() {
    local backup_dir=$1
    
    if [ ! -d "$backup_dir" ]; then
        echo "エラー: バックアップディレクトリが見つかりません: $backup_dir"
        return 1
    fi
    
    echo "リストア開始: $backup_dir"
    
    # 1. 設定ファイルのリストア
    tar xzf $backup_dir/configs.tar.gz -C /
    
    # 2. イメージのリストア
    for image_tar in $backup_dir/images/*.tar; do
        podman load -i $image_tar
    done
    
    # 3. ボリュームのリストア
    for volume_tar in $backup_dir/volumes/*.tar.gz; do
        volume_name=$(basename $volume_tar .tar.gz)
        podman volume create $volume_name
        volume_path=$(podman volume inspect $volume_name --format '\{\{.Mountpoint\}\}')
        tar xzf $volume_tar -C $(dirname $volume_path)
    done
    
    # 4. コンテナの再作成
    #
    # NOTE:
    # `containers.json`（`podman ps -a --format json` の出力）だけでは、`podman create/run` の完全再現には不十分である。
    # 運用では systemd unit / compose / kube YAML 等を「コンテナ定義のソース・オブ・トゥルース」として管理し、
    # そこから再作成できる形にしておくことを推奨する。
    if compgen -G "/etc/systemd/system/podman-*.service" > /dev/null; then
        echo "systemd unit を検出しました。サービスを有効化して起動します。"
        systemctl daemon-reload
        for unit in /etc/systemd/system/podman-*.service; do
            [ -e "$unit" ] || continue
            systemctl enable --now "$(basename "$unit")" || true
        done
    else
        echo "注意: systemd unit が見つからないため、コンテナの再作成は手動になります。"
        echo "compose/kube YAML などの定義ファイルから再作成してください。"
    fi
    
    echo "リストア完了"
}

# /etc/systemd/system/user@.service.d/podman-limits.conf
[Service]
# ユーザーごとのリソース制限
MemoryMax=16G
CPUQuota=400%
TasksMax=4096
LimitNOFILE=65536

# cgroup v2制限
Delegate=cpu memory pids

#!/bin/bash
# ldap-integration.sh - LDAP認証統合

# SSSDの設定
cat > /etc/sssd/sssd.conf << EOF
[sssd]
domains = example.com
services = nss, pam

[domain/example.com]
auth_provider = ldap
id_provider = ldap
ldap_uri = ldaps://ldap.example.com:636
ldap_search_base = dc=example,dc=com
ldap_tls_cacert = /etc/pki/tls/certs/ca-bundle.crt
ldap_id_use_start_tls = true
cache_credentials = true
ldap_tls_reqcert = demand
EOF

chmod 600 /etc/sssd/sssd.conf
systemctl enable --now sssd

# Podmanグループマッピング
cat > /etc/security/group.conf << EOF
# LDAP グループ -> ローカルグループマッピング
*:container-admins:ldap-container-admins
*:developers:ldap-developers
*:operators:ldap-operators
EOF