# ユーザー名前空間の仕組み
cat /proc/self/uid_map
         0       1000          1    # UID 0（root）が実際はUID 1000
         1     100000      65536    # UID 1-65536が100000-165535にマップ

# Rootlessモードの確認
podman info | grep rootless
# rootless: true

# これが意味すること：
# - コンテナ内でroot（UID 0）として動作
# - ホストでは一般ユーザー（UID 1000）
# - コンテナ脱出してもroot権限は得られない

# 従来（Docker）: rootが必要
sudo docker run -d nginx  # sudoが必須

# Podman: 一般ユーザーで実行
podman run -d nginx      # sudoは不要！

# セキュリティインシデントのシミュレーション
# もしコンテナが侵害されても...
# Docker: root権限でホストにアクセス可能 → 全システム侵害
# Podman: 一般ユーザー権限のみ → 被害は限定的

# ユーザー設定が必要な理由
echo "$USER:100000:65536" | sudo tee -a /etc/subuid
echo "$USER:100000:65536" | sudo tee -a /etc/subgid

# これにより：
# - 65536個の仮想UID/GIDが使用可能
# - コンテナ内で完全なユーザー階層を再現
# - マルチユーザーアプリケーションが動作可能

# システム設定の意味
cat > /etc/sysctl.d/userns.conf << EOF
user.max_user_namespaces = 28633     # namespace作成数の上限
net.ipv4.ip_unprivileged_port_start = 80  # 80番ポートも使用可能に
net.ipv4.ping_group_range = 0 2000000     # pingを一般ユーザーに許可
EOF

# なぜこれらが重要か：
# - Webサーバーが80/443で待ち受け可能
# - ネットワーク診断ツールが使用可能
# - 開発環境が本番環境と同じ設定で動作

# 制限1: ホストネットワークモード使用不可
# 理由: ホストのネットワークスタック変更にはroot権限必要
# 回避策: ポートフォワーディングを使用
podman run -p 8080:80 nginx  # ホストの8080をコンテナの80にマップ

# 制限2: 1024未満のポートバインド（デフォルト）
# 理由: 伝統的にwell-knownポートはroot専用
# 解決策: sysctl設定で許可
sudo sysctl net.ipv4.ip_unprivileged_port_start=80

# 制限3: 一部のボリュームマウント
# 理由: ファイルシステムの権限
# 解決策: ユーザー名前空間でのマッピング
podman unshare chown -R $(id -u):$(id -g) /path/to/volume

# デフォルトCapabilities確認
podman run --rm alpine capsh --print

# Capabilities追加
podman run --cap-add NET_ADMIN alpine ip route

# Capabilities削除
podman run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx:alpine

# 推奨最小Capabilities
podman run \
  --cap-drop ALL \
  --cap-add CHOWN \
  --cap-add DAC_OVERRIDE \
  --cap-add SETGID \
  --cap-add SETUID \
  --cap-add NET_BIND_SERVICE \
  nginx:alpine

# カスタムSeccompプロファイル適用
podman run --security-opt seccomp=custom-seccomp.json alpine

# SELinuxコンテキスト確認
ls -Z /var/lib/containers

# コンテナのSELinuxラベル
podman run --rm alpine cat /proc/self/attr/current

# カスタムSELinuxタイプ
podman run \
  --security-opt label=type:svirt_apache_t \
  httpd:latest

# ボリュームのラベリング
podman run -v /data:/data:Z alpine  # プライベート再ラベル
podman run -v /data:/data:z alpine  # 共有ラベル

# Trivyによるスキャン
podman run --rm \
  -v /var/run/podman/podman.sock:/var/run/docker.sock \
  aquasec/trivy image myapp:latest

# Clairによるスキャン
# Clairサーバー起動
podman run -d --name clair \
  -p 6060:6060 \
  quay.io/coreos/clair:latest

# スキャン実行
clairctl analyze myapp:latest

# GPGキー作成
gpg --gen-key

# 署名ポリシー設定
cat > /etc/containers/policy.json << EOF
{
  "default": [{"type": "reject"}],
  "transports": {
    "docker": {
      "registry.example.com": [
        {
          "type": "signedBy",
          "keyType": "GPGKeys",
          "keyPath": "/etc/pki/rpm-gpg/RPM-GPG-KEY-example"
        }
      ],
      "docker.io": [{"type": "insecureAcceptAnything"}]
    }
  }
}
EOF

# イメージ署名
podman push --sign-by security@example.com registry.example.com/myapp:latest

# 読み取り専用ルートファイルシステム
podman run -d \
  --read-only \
  --tmpfs /tmp \
  --tmpfs /var/run \
  nginx:alpine

# 特定ディレクトリのみ書き込み可能
podman run -d \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid \
  --volume app-data:/data:rw \
  myapp:latest

# No new privileges
podman run \
  --security-opt no-new-privileges \
  alpine

# プロセス分離
podman run \
  --pid=host \
  --security-opt label=disable \
  monitoring-agent:latest

# ユーザー名前空間の無効化（Rootfulモード）
sudo podman run \
  --userns=host \
  legacy-app:latest

# 監査スクリプト
cat > audit-containers.sh << 'EOF'
#!/bin/bash

echo "=== Container Security Audit ==="

# 実行中のコンテナ確認
echo -e "\n[Running Containers]"
podman ps --format "table \{\{.Names\}\}\t\{\{.Status\}\}\t\{\{.Ports\}\}"

# 特権コンテナの確認
echo -e "\n[Privileged Containers]"
podman ps -a --format json | jq '.[] | select(.Privileged == true) | .Names'

# ルートで実行されているコンテナ
echo -e "\n[Containers running as root]"
for container in $(podman ps -q); do
    USER=$(podman exec $container whoami 2>/dev/null)
    if [ "$USER" = "root" ]; then
        echo "Container: $(podman inspect $container | jq -r '.[0].Name')"
    fi
done

# Capabilitiesの確認
echo -e "\n[Container Capabilities]"
for container in $(podman ps -q); do
    echo "Container: $(podman inspect $container | jq -r '.[0].Name')"
    podman inspect $container | jq '.[0].EffectiveCaps'
done
EOF

chmod +x audit-containers.sh