Das Image geht in Produktion: minimal, ohne Root und signiert — ohne Verhandlung.
Multi-Stage-Dockerfile per Digest gepinnt, ohne Root, ohne Secrets in Layern, mit SBOM, blockierendem Scan und cosign-Signatur. Der Container startet ganz ohne Privilegien.
$ schematize install dockerNicht verhandelbare Mindeststandards
Werden nie abgeschaltet, "um schneller zu sein". Vollständige Liste in der Skill.
Basis per Digest gepinnt
FROM image:tag@sha256, nie ein beweglicher Tag oder latest; den Digest erneuern Renovate oder Dependabot in einem PR mit Scan.
Ohne Root mit numerischer UID
USER 10001:10001 in der letzten Stage; ohne USER läuft der Container als Root.
Secrets nie in ARG, ENV oder Layern
Build-Secrets nur über RUN --mount=type=secret; Laufzeit-Secrets kommen beim Start. COPY .env und private Schlüssel sind verboten.
Minimales Multi-Stage-Image
Die Toolchain bleibt in der Build-Stage; das finale Image enthält nur Binary oder Runtime, mit einer .dockerignore, die .env und .git ausschließt.
Herkunftsnachweis beim Ausliefern
SBOM und Provenance beim Push, ein Scan, der bei HIGH/CRITICAL blockiert, und eine cosign-Signatur per Digest, bei der Admission geprüft.
Unveränderlicher Tag und Deploy per Digest
Der Tag ist der Git-SHA, Deploys referenzieren den Digest, latest existiert in keiner Deploy-Registry und Rollback ist ein Redeploy des vorherigen Digest.
Container ohne Privilegien
read_only, cap_drop ALL, no-new-privileges und Ressourcenlimits; nie --privileged, gemountetes docker.sock oder net=host.
Befehle
Installiert in .claude/commands/. Führe /docker-help jederzeit aus.
/docker-buildErzeugt oder passt das Dockerfile des Stacks anhand der Beispiele an und belegt, dass es das Gate besteht./docker-ccContext compact: schreibt Kontext + Checkliste ins Archiv und führt /compact aus./docker-claudeErstellt oder fügt die Immer-an-CLAUDE.md für Docker im Repo-Root zusammen (überschreibt keine Blöcke anderer Skills)./docker-composePrüft oder erzeugt das Dev/Hml-Compose: Profiles, Healthcheck, geschlossene Datenbank und .env außerhalb von Git./docker-handoffSchreibt das Kontext-Handoff ohne Kompaktierung — Sitzungsende oder Aufgabenwechsel./docker-hardenHärtet Image und Runtime: minimale Basis, ohne Root, read-only, cap_drop und Limits./docker-helpListet alle Befehle auf./docker-loadLädt zwingend den gesamten normativen Inhalt: Dockerfile, Supply Chain, Runtime, Compose und Sprachen./docker-reviewPrüft Dockerfile und Compose gegen den Mindeststandard: führt beide Gates (und hadolint, falls vorhanden) aus und liest, was die Maschine nicht liest./docker-scanBlockierender Scan plus SBOM, Provenance, Signierung und Verifikation (trivy, grype oder scout, cosign).Für KI-Agenten
Ohne menschliches Eingreifen installieren. Metadaten in llms.txt.
- Ausführen: git clone https://github.com/schematizeme/skill-docker.git && ./skill-docker/install.sh
- Oder herunterladen: https://github.com/schematizeme/skill-docker/releases/latest/download/skill-docker.zip und nach .claude/skills/ entpacken
- Kopiere assets/CLAUDE.md in das Repo-Root (Immer-an-Regel).
- Bestätige mit /docker-help.
Diskussion
Wird geladen…