$ vagrant --version
Vagrant 2.2.9


$ vagrant plugin list
vagrant-libvirt (0.0.45, global)
  - Version Constraint: > 0


$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 20.04.1 LTS
Release:    20.04
Codename:   focal


$ uname -srvmpio
Linux 4.15.0-112-generic #113-Ubuntu SMP Thu Jul 9 23:41:39 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux

まずは仮想マシンを作成しておきます。

$ vagrant init generic/ubuntu2004

rsync

まずは、rsyncを使ってみます。

Vagrantfileに、以下を追加します。

  config.vm.synced_folder "./", "/vagrant", type: "rsync"

コメントアウトされているSynced Foldersの定義があるので、このあたりに追加するのがいいでしょう。

  # Share an additional folder to the guest VM. The first argument is
  # the path on the host to the actual folder. The second argument is
  # the path on the guest to mount the folder. And the optional third
  # argument is a set of non-required options.
  # config.vm.synced_folder "../data", "/vagrant_data"

起動。

$ vagrant up

最後に、こんなメッセージが表示されます。

==> default: Rsyncing folder: /path/to/ => /vagrant

仮想マシンに入ってみましょう。

$ vagrant ssh

今回の設定では、「/vagrant」ディレクトリにSynced Folderで設定したディレクトリの中身が見えています。

$ ll /vagrant
total 12
drwxrwxr-x  2 vagrant vagrant 4096 Sep 10 08:50 ./
drwxr-xr-x 20 root    root    4096 Sep 10 08:51 ../
-rw-rw-r--  1 vagrant vagrant 3082 Sep 10 08:49 Vagrantfile

ここで、ホスト側で同期対象のディレクトリ上でファイルを作成してみます。

$ echo 'Hello World' > test.txt

ゲスト側には、反映されません。

$ ll /vagrant
total 12
drwxrwxr-x  2 vagrant vagrant 4096 Sep 10 08:50 ./
drwxr-xr-x 20 root    root    4096 Sep 10 08:51 ../
-rw-rw-r--  1 vagrant vagrant 3082 Sep 10 08:49 Vagrantfile

これを反映させたかったら、以下を実行。

$ vagrant reload

単純なOS再起動（「sudo reboot」など）ではダメです。

そもそも、ファイルシステムとしてマウントされているわけでもないですからね。

$ df -hT
Filesystem     Type      Size  Used Avail Use% Mounted on
udev           devtmpfs  951M     0  951M   0% /dev
tmpfs          tmpfs     199M  664K  199M   1% /run
/dev/vda3      ext4      124G  2.1G  115G   2% /
tmpfs          tmpfs     994M     0  994M   0% /dev/shm
tmpfs          tmpfs     5.0M     0  5.0M   0% /run/lock
tmpfs          tmpfs     994M     0  994M   0% /sys/fs/cgroup
/dev/vda1      ext4      456M  102M  321M  25% /boot
tmpfs          tmpfs     199M     0  199M   0% /run/user/1000

9p（Plan 9 Filesystem Protocol）

続いては、9pです。

これは、KVM環境でのVirFS（準仮想ファイルシステム）として機能します。

VirtFS - KVM

9p自体は、こちらを参照。

9P - Wikipedia

9p virtio - KVM

Documentation/9psetup - QEMU

9pを使ったファイルシステムを使うには、ゲスト側のサポートが必要になります。よって、利用できない状況もあるかも
しれません。

vagrant-libvirtのドキュメントでは、以下のどちらかを使え、と書いてあります。

  config.vm.synced_folder './', '/vagrant', type: '9p', disabled: false, accessmode: "squash", owner: "1000"

  # or

  config.vm.synced_folder './', '/vagrant', type: '9p', disabled: false, accessmode: "mapped", mount: false

違いはなんでしょう？

まず「mount: false」となっている場合は、起動時にマウントが行われません。

ownerは、文字通り所有者のuidを記述しています。1000は、vagrantユーザーのuidです。

accessmodeとは？

こちらを見るのが良さそうです。

21.16.2. ファイルシステム Red Hat Enterprise Linux 6 | Red Hat Customer Portal

passthrough - ゲスト仮想マシン内から設定されるユーザーのアクセス権でソースがアクセスされることを指定します。これは、いずれも指定されていない場合にデフォルトの accessmode になります。

mapped - ソースがハイパーバイザーのアクセス権でアクセスされることを指定します。

squash - 'passthrough' に似ていますが、例外は、chown のような権限による操作の失敗が無視されることです。これにより、ハイパーバイザーを root 以外で実行するユーザーにとって、passthrough のようなモードを使いやすいものとします。

squash、passthroughはゲスト側のユーザーが中心になり、mappedはホスト側の権限が中心になる、ということですね。

確認してみましょう。

こちらから。

  config.vm.synced_folder './', '/vagrant', type: '9p', disabled: false, accessmode: "squash", owner: "1000"

起動時には、こんな表示が出ます。

==> default: Should be mounting folders
==> default:  /vagrant, opts: {:disabled=>false, :guestpath=>"/vagrant", :hostpath=>"/path/to", :type=>:"9p", :accessmode=>"squash", :owner=>"1000", :__vagrantfile=>true, :target=>"/vagrant", :mount=>true, :readonly=>nil, :mount_tag=>"a68e78e76b9b38fcd41945093f0dfb1"}

仮想マシンにSSHで入って、マウントしているファイルシステムを見てみましょう。

$ df -hT
Filesystem                      Type      Size  Used Avail Use% Mounted on
udev                            devtmpfs  951M     0  951M   0% /dev
tmpfs                           tmpfs     199M  668K  199M   1% /run
/dev/vda3                       ext4      124G  2.1G  115G   2% /
tmpfs                           tmpfs     994M     0  994M   0% /dev/shm
tmpfs                           tmpfs     5.0M     0  5.0M   0% /run/lock
tmpfs                           tmpfs     994M     0  994M   0% /sys/fs/cgroup
/dev/vda1                       ext4      456M  102M  321M  25% /boot
a68e78e76b9b38fcd41945093f0dfb1 9p        269G  244G   12G  96% /vagrant
tmpfs                           tmpfs     199M     0  199M   0% /run/user/1000

「/vagrant」が「9p」ファイルシステムでマウントされています。

確認。

$ ll /vagrant/
total 16
drwxrwxr-x  3 vagrant vagrant 4096 Sep 10 09:35 ./
drwxr-xr-x 20 root    root    4096 Sep 10 08:51 ../
drwxrwxr-x  5 vagrant vagrant 4096 Sep 10 08:50 .vagrant/
-rw-rw-r--  1 vagrant vagrant 3192 Sep 10 09:35 Vagrantfile

ホスト側でファイルを作ってみます。

$ echo 'Hello World' > test.txt

すると、ゲスト側にも表示されます。

$ ll /vagrant/
total 20
drwxrwxr-x  3 vagrant vagrant 4096 Sep 10 09:37 ./
drwxr-xr-x 20 root    root    4096 Sep 10 08:51 ../
-rw-rw-r--  1 vagrant vagrant   12 Sep 10 09:37 test.txt
drwxrwxr-x  5 vagrant vagrant 4096 Sep 10 08:50 .vagrant/
-rw-rw-r--  1 vagrant vagrant 3192 Sep 10 09:35 Vagrantfile


$ cat /vagrant/test.txt 
Hello World

ただ、ここにファイルは作れなさそうですね。

$ mkdir /vagrant/dir
mkdir: cannot create directory ‘/vagrant/dir’: Permission denied


$ sudo mkdir /vagrant/dir
mkdir: cannot create directory ‘/vagrant/dir’: Operation not permitted

ホスト側から、緩いディレクトリを作ってみます。

$ mkdir dir

$ chmod 777 dir

確認。

$ ll /vagrant/
total 24
drwxrwxr-x  4 vagrant vagrant 4096 Sep 10 09:38 ./
drwxr-xr-x 20 root    root    4096 Sep 10 08:51 ../
drwxrwxrwx  2 vagrant vagrant 4096 Sep 10 09:38 dir/
-rw-rw-r--  1 vagrant vagrant   12 Sep 10 09:37 test.txt
drwxrwxr-x  5 vagrant vagrant 4096 Sep 10 08:50 .vagrant/
-rw-rw-r--  1 vagrant vagrant 3192 Sep 10 09:35 Vagrantfile

ゲスト側から見えます。

書き込んでみましょう。

$ echo 'from Guest' > /vagrant/dir/hello.txt

これならうまくいきました。

権限を見てみると、こんな感じに。

$ ll /vagrant/dir
total 12
drwxrwxrwx 2 vagrant vagrant 4096 Sep 10 09:39 ./
drwxrwxr-x 4 vagrant vagrant 4096 Sep 10 09:38 ../
-rw-rw-r-- 1   64055     127   11 Sep 10 09:39 hello.txt

ホスト側から見ると、こうなっています。

$ ls -l dir
合計 4
-rw-rw-r-- 1 libvirt-qemu kvm 11  9月 10 18:39 hello.txt

ゲスト側からも書き込めることは、確認できましたね。

1度、ホスト側からファイルやディレクトリを削除。

$ rm test.txt
$ rm -rf dir

最後に、こちらを確認してみます。

  config.vm.synced_folder './', '/vagrant', type: '9p', disabled: false, accessmode: "mapped", mount: false

==> default: Should be mounting folders
==> default:  /vagrant, opts: {:disabled=>false, :guestpath=>"/vagrant", :hostpath=>"/path/to", :type=>:"9p", :accessmode=>"mapped", :mount=>false, :__vagrantfile=>true, :target=>"/vagrant", :readonly=>nil, :mount_tag=>"a68e78e76b9b38fcd41945093f0dfb1"}

仮想マシンにSSHで入ってみると、ディレクトリはマウントされていません。

$ df -hT
Filesystem     Type      Size  Used Avail Use% Mounted on
udev           devtmpfs  951M     0  951M   0% /dev
tmpfs          tmpfs     199M  660K  199M   1% /run
/dev/vda3      ext4      124G  2.1G  115G   2% /
tmpfs          tmpfs     994M     0  994M   0% /dev/shm
tmpfs          tmpfs     5.0M     0  5.0M   0% /run/lock
tmpfs          tmpfs     994M     0  994M   0% /sys/fs/cgroup
/dev/vda1      ext4      456M  102M  321M  25% /boot
tmpfs          tmpfs     199M     0  199M   0% /run/user/1000

これは、「mount: false」にしてあるからですね。起動時にマウントされないのです。

マウントしましょう。起動時に表示されている、「:mount_tag=>"a68e78e76b9b38fcd41945093f0dfb1"」という「mount_tag」の
値を使います。

$ sudo mount -t 9p a68e78e76b9b38fcd41945093f0dfb1 /vagrant

マウントするファイルシステムの種類は、9pです。

見えるようになりました。

$ df -hT
Filesystem                      Type      Size  Used Avail Use% Mounted on
udev                            devtmpfs  951M     0  951M   0% /dev
tmpfs                           tmpfs     199M  660K  199M   1% /run
/dev/vda3                       ext4      124G  2.1G  115G   2% /
tmpfs                           tmpfs     994M     0  994M   0% /dev/shm
tmpfs                           tmpfs     5.0M     0  5.0M   0% /run/lock
tmpfs                           tmpfs     994M     0  994M   0% /sys/fs/cgroup
/dev/vda1                       ext4      456M  102M  321M  25% /boot
tmpfs                           tmpfs     199M     0  199M   0% /run/user/1000
a68e78e76b9b38fcd41945093f0dfb1 9p        269G  244G   12G  96% /vagrant

先ほどと同じように、ホスト側でファイルやディレクトリを作っておきます。
※ゲスト側から「/vagrant」ディレクトリにファイル等が作れないのは同じだったので

$ echo 'Hello World' > test.txt
$ mkdir dir
$ chmod 777 dir

ゲスト側からの書き込み。

$ echo 'from Guest' > /vagrant/dir/hello.txt

ゲスト側からは、こんな感じに見えます。

$ ll /vagrant
total 24
drwxrwxr-x  4 vagrant vagrant 4096 Sep 10 09:48 ./
drwxr-xr-x 20 root    root    4096 Sep 10 08:51 ../
drwxrwxrwx  2 vagrant vagrant 4096 Sep 10 09:48 dir/
-rw-rw-r--  1 vagrant vagrant   12 Sep 10 09:47 test.txt
drwxrwxr-x  5 vagrant vagrant 4096 Sep 10 08:50 .vagrant/
-rw-rw-r--  1 vagrant vagrant 3303 Sep 10 09:44 Vagrantfile


$ ll /vagrant/dir
total 16
drwxrwxrwx 2 vagrant vagrant 4096 Sep 10 09:48 ./
drwxrwxr-x 4 vagrant vagrant 4096 Sep 10 09:48 ../
-rw-rw-r-- 1 vagrant vagrant   11 Sep 10 09:48 hello.txt

一方、ホスト側からはこう見えます。

$ ls -l dir
合計 8
-rw------- 1 libvirt-qemu kvm 11  9月 10 18:48 hello.txt

違いは、ゲスト側から見た時の、ゲスト側で作ったファイルの所有者ですね。

$ ll /vagrant/dir
total 12
drwxrwxrwx 2 vagrant vagrant 4096 Sep 10 09:39 ./
drwxrwxr-x 4 vagrant vagrant 4096 Sep 10 09:38 ../
-rw-rw-r-- 1   64055     127   11 Sep 10 09:39 hello.txt


$ ll /vagrant/dir
total 16
drwxrwxrwx 2 vagrant vagrant 4096 Sep 10 09:48 ./
drwxrwxr-x 4 vagrant vagrant 4096 Sep 10 09:48 ../
-rw-rw-r-- 1 vagrant vagrant   11 Sep 10 09:48 hello.txt

ホスト側から見た時は変わらないのですが。

ちなみに、最後に試した設定でも

  config.vm.synced_folder './', '/vagrant', type: '9p', disabled: false, accessmode: "mapped", mount: true

というように「mount: true」としていれば、起動時にディレクトリをマウントしてくれます。

ただ、極力「squash」の方を使った方がいいんでしょうね。

2020-09-09

Dockerコンテナイメージのセキュリティ診断ツール、Dockleを試す

Docker

これは、なにをしたくて書いたもの？

Dockerイメージのセキュリティ診断ツールのひとつとして、「Dockle」というものがあるのを知りまして。

こちらをちょっと試してみようかな、と。

Dockle？

コンテナイメージに含まれるパッケージ等の脆弱性診断ツールとして、ClairやTrivyが有名です。

GitHub - quay/clair: Vulnerability Static Analysis for Containers

GitHub - aquasecurity/trivy: A Simple and Comprehensive Vulnerability Scanner for Containers, Suitable for CI

Dockleはこういうものとはちょっと違って、CIS BenchmarkのDockerに関する項目（Container Images and Build File）や
DockerfileのBest Practiceで重要なものをチェックしてくれるツールのようです。

GitHub - goodwithtech/dockle: Container Image Linter for Security, Helping build the Best-Practice Docker Image, Easy to start

CIで簡単につかえるコンテナのセキュリティ診断｢Dockle｣ - Qiita

CIS Benchmarks

Best practices for writing Dockerfiles | Docker Documentation

実際のチェック内容は、こちら。

dockle/CHECKPOINT.md at v0.3.1 · goodwithtech/dockle · GitHub

ざっくり書いていってみましょう。

Dockerイメージ用のチェックポイント
- Create a user for the container … コンテナ用のユーザーを作成しているか
- Use trusted base images for containers … 信頼されたベースイメージを使っているか
- Enable Content trust for Docker … Docker Content Trustが有効化されているか
- Add HEALTHCHECK instruction to the container image … コンテナイメージに HEALTHCHECK が指定されているか
- Do not use update instructions alone in the Dockerfile … パッケージマネージャーのupdateコマンドを、単一のコマンドで実行していないか
- Confirm safety of setuid and setgid files … setuid、setgidファイルの安全性を確認しているか
- Use COPY instead of ADD in Dockerfile … ADDの代わりにCOPYを使っているか
- Do not store secrets in Dockerfiles … Dockerfileに機密情報を書き込んでいないか
Docker用のチェックポイント
- Avoid sudo command … sudoコマンドを使っていないか
- Avoid sensitive directory mounting … センシティブなディレクトリのマウントを使っていないか
- Avoid apt-get upgrade, apk upgrade, dist-upgrade … パッケージマネージャーのupgradeコマンドを使っていないか
- Use apk add with --no-cache … apk addには--no-cacheオプションを使っているか
- Clear apt-get caches … パッケージマネージャーのキャッシュをクリアしているか
- Avoid latest tag … latestタグを使っていないか
Linux用のチェックポイント
- Avoid empty password … 空のパスワードを使っていないか
- Be unique UID/GROUPs … UIDおよびグループはユニークか
- Only put necessary files … 必要なファイルのみが置かれているか

使い方の例は、こちら。

Common Examples

CIへの統合例は、こちら。

Continuous Integration (CI)

こんな感じですね。では、使っていってみましょう。

環境

今回の環境は、こちら。

$ uname -srvmpio
Linux 5.4.0-47-generic #51-Ubuntu SMP Fri Sep 4 19:50:52 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux


$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 20.04.1 LTS
Release:    20.04
Codename:   focal


$ docker version
Client: Docker Engine - Community
 Version:           19.03.12
 API version:       1.40
 Go version:        go1.13.10
 Git commit:        48a66213fe
 Built:             Mon Jun 22 15:45:44 2020
 OS/Arch:           linux/amd64
 Experimental:      false

Server: Docker Engine - Community
 Engine:
  Version:          19.03.12
  API version:      1.40 (minimum version 1.12)
  Go version:       go1.13.10
  Git commit:       48a66213fe
  Built:            Mon Jun 22 15:44:15 2020
  OS/Arch:          linux/amd64
  Experimental:     false
 containerd:
  Version:          1.2.13
  GitCommit:        7ad184331fa3e55e52b890ea95e65ba581ae3429
 runc:
  Version:          1.0.0-rc10
  GitCommit:        dc9208a3303feef5b3839f4323d9beb36df0a9dd
 docker-init:
  Version:          0.18.0
  GitCommit:        fec3683

インストール

まずは、インストールしてみます。

Installation

Ubuntu Linuxの場合の手順はこちら。

Debian/Ubuntu

$ VERSION=$(
 curl --silent "https://api.github.com/repos/goodwithtech/dockle/releases/latest" | \
 grep '"tag_name":' | \
 sed -E 's/.*"v([^"]+)".*/\1/' \
) && curl -L -o dockle.deb https://github.com/goodwithtech/dockle/releases/download/v${VERSION}/dockle_${VERSION}_Linux-64bit.deb
$ sudo dpkg -i dockle.deb && rm dockle.deb

今回インストールしたDockleは、0.3.1です。

$ dockle -v
dockle version 0.3.1

オプションを確認。

$ dockle -h
NAME:
  dockle - Container Image Linter for Security, Helping build the Best-Practice Docker Image, Easy to start
USAGE:
  dockle [options] image_name
VERSION:
  0.3.1
OPTIONS:
  --input value                 input file path instead of image name
  --ignore value, -i value      checkpoints to ignore. You can use .dockleignore too.
  --format value, -f value      format (json)
  --output value, -o value      output file name
  --exit-code value, -c value   exit code when alert were found (default: 0)
  --exit-level value, -l value  change ABEND level when use exit-code=1 (default: "WARN")
  --debug, -d                   debug mode
  --timeout value, -t value     docker timeout. e.g) 5s, 5m... (default: 1m30s)
  --authurl value               registry authenticate url
  --username value              registry login username
  --password value              registry login password. Using --password via CLI is insecure.
  --insecure                    registry connect insecure
  --nonssl                      registry connect without ssl
  --cache-dir value             cache directory
  --help, -h                    show help
  --version, -v                 print the version

Dockleの実行自体には、Dockerは不要なようです。

使ってみる

では、使ってみましょう。

試しに、Apache MavenのDockerイメージをPull。

$ docker image pull maven:3.6-adoptopenjdk-11

Dockleを実行してみます。

$ dockle maven:3.6-adoptopenjdk-11

こんな結果になりました。

WARN  - CIS-DI-0001: Create a user for the container
    * Last user should not be root
INFO    - CIS-DI-0005: Enable Content trust for Docker
    * export DOCKER_CONTENT_TRUST=1 before docker pull/build
INFO    - CIS-DI-0006: Add HEALTHCHECK instruction to the container image
    * not found HEALTHCHECK statement
INFO    - CIS-DI-0008: Confirm safety of setuid/setgid files
    * setuid file: usr/bin/newgrp urwxr-xr-x
    * setgid file: usr/bin/expiry grwxr-xr-x
    * setuid file: bin/umount urwxr-xr-x
    * setgid file: sbin/pam_extrausers_chkpwd grwxr-xr-x
    * setgid file: usr/bin/wall grwxr-xr-x
    * setgid file: usr/bin/ssh-agent grwxr-xr-x
    * setuid file: usr/bin/passwd urwxr-xr-x
    * setuid file: usr/bin/gpasswd urwxr-xr-x
    * setuid file: bin/su urwxr-xr-x
    * setuid file: usr/bin/chsh urwxr-xr-x
    * setuid file: usr/bin/chfn urwxr-xr-x
    * setgid file: usr/bin/chage grwxr-xr-x
    * setuid file: usr/lib/openssh/ssh-keysign urwxr-xr-x
    * setuid file: bin/mount urwxr-xr-x
    * setgid file: sbin/unix_chkpwd grwxr-xr-x

もうひとつ、Apacheで試してみましょう。

$ docker image pull httpd:2.4

結果。

$ dockle httpd:2.4
WARN    - CIS-DI-0001: Create a user for the container
    * Last user should not be root
INFO    - CIS-DI-0005: Enable Content trust for Docker
    * export DOCKER_CONTENT_TRUST=1 before docker pull/build
INFO    - CIS-DI-0006: Add HEALTHCHECK instruction to the container image
    * not found HEALTHCHECK statement
INFO    - CIS-DI-0008: Confirm safety of setuid/setgid files
    * setgid file: usr/bin/expiry grwxr-xr-x
    * setuid file: usr/bin/gpasswd urwxr-xr-x
    * setuid file: bin/su urwxr-xr-x
    * setuid file: usr/bin/chsh urwxr-xr-x
    * setgid file: sbin/unix_chkpwd grwxr-xr-x
    * setgid file: usr/bin/chage grwxr-xr-x
    * setgid file: usr/bin/wall grwxr-xr-x
    * setuid file: usr/bin/passwd urwxr-xr-x
    * setuid file: usr/bin/chfn urwxr-xr-x
    * setuid file: usr/local/apache2/bin/suexec urwxr-xr-x
    * setuid file: bin/umount urwxr-xr-x
    * setuid file: bin/mount urwxr-xr-x
    * setuid file: usr/bin/newgrp urwxr-xr-x

今回選んだイメージでは、引っかかるチェックポイントは変わりませんでした…。

なお、「コンテナ内のプロセスがrootで実行されてるよ」というチェックポイントですが、Apacheの場合は子プロセスはrootで
動作しないので、ここは許容してもよいかも？という気がします。

ここをさらに木にする場合は、User namespaceを使うのだとか。

Isolate containers with a user namespace | Docker Documentation

余談でした。

実行時間は、こんな感じ。

$ time dockle maven:3.6-adoptopenjdk-11

real    0m16.873s
user    0m2.095s
sys 0m0.944s


$ time dockle httpd:2.4

real    0m4.910s
user    0m0.658s
sys 0m0.212s

あとは、指定のレベル以上のアラートが出た場合の終了コードを指定したり、特定のチェックポイントを無視したり、

Common Examples

結果をJSONで出力したりできるようです。

$ dockle -f json maven:3.6-adoptopenjdk-11
{
  "summary": {
    "fatal": 0,
    "warn": 1,
    "info": 3,
    "skip": 0,
    "pass": 12
  },
  "details": [
    {
      "code": "CIS-DI-0001",
      "title": "Create a user for the container",
      "level": "WARN",
      "alerts": [
        "Last user should not be root"
      ]
    },
    {
      "code": "CIS-DI-0005",
      "title": "Enable Content trust for Docker",
      "level": "INFO",
      "alerts": [
        "export DOCKER_CONTENT_TRUST=1 before docker pull/build"
      ]
    },
    {
      "code": "CIS-DI-0006",
      "title": "Add HEALTHCHECK instruction to the container image",
      "level": "INFO",
      "alerts": [
        "not found HEALTHCHECK statement"
      ]
    },
    {
      "code": "CIS-DI-0008",
      "title": "Confirm safety of setuid/setgid files",
      "level": "INFO",
      "alerts": [
        "setuid file: usr/bin/passwd urwxr-xr-x",
        "setgid file: usr/bin/wall grwxr-xr-x",
        "setuid file: bin/mount urwxr-xr-x",
        "setgid file: sbin/unix_chkpwd grwxr-xr-x",
        "setgid file: usr/bin/chage grwxr-xr-x",
        "setuid file: usr/bin/chsh urwxr-xr-x",
        "setgid file: usr/bin/ssh-agent grwxr-xr-x",
        "setuid file: usr/lib/openssh/ssh-keysign urwxr-xr-x",
        "setuid file: usr/bin/chfn urwxr-xr-x",
        "setuid file: usr/bin/newgrp urwxr-xr-x",
        "setgid file: usr/bin/expiry grwxr-xr-x",
        "setuid file: usr/bin/gpasswd urwxr-xr-x",
        "setuid file: bin/umount urwxr-xr-x",
        "setuid file: bin/su urwxr-xr-x",
        "setgid file: sbin/pam_extrausers_chkpwd grwxr-xr-x"
      ]
    }
  ]
}

良いですね、コンテナイメージのBest Practiceに従っているかどうかなどを確認してみるといいのかなーと思います。