L’immagine va in produzione: minima, non-root e firmata — senza negoziare.
Dockerfile multi-stage fissato per digest, non-root, senza segreti nei layer, con SBOM, scan bloccante e firma cosign. Il container nasce senza alcun privilegio.
$ schematize install dockerBasi non negoziabili
Non si spengono "per andare più veloce". Elenco completo nella skill.
Base fissata per digest
FROM immagine:tag@sha256, mai un tag mobile né latest; a rinnovare il digest sono Renovate o Dependabot, in una PR con scan.
Non-root con UID numerico
USER 10001:10001 nello stadio finale; senza USER il container è root.
Segreti fuori da ARG, ENV e layer
Segreto di build solo con RUN --mount=type=secret; quello di runtime arriva all’avvio. COPY .env e chiavi private sono vietati.
Immagine minima e multi-stage
La toolchain resta nello stadio di build; l’immagine finale porta il binario o il runtime e nient’altro, con un .dockerignore che esclude .env e .git.
Provenienza in uscita
SBOM e provenance al push, scan che blocca su HIGH/CRITICAL e firma cosign per digest, verificata all’ammissione.
Tag immutabile e deploy per digest
Il tag è lo sha di git, il deploy referenzia il digest, latest non esiste in un registry di deploy e il rollback è il redeploy del digest precedente.
Container senza privilegi
read_only, cap_drop ALL, no-new-privileges e limiti di risorse; mai --privileged, docker.sock montato né net=host.
Comandi
Installati in .claude/commands/. Usa /docker-help quando vuoi.
/docker-buildGenera o adatta il Dockerfile dello stack dagli esempi e dimostra che supera il gate./docker-ccContext compact: scrive contesto + checklist nell'archivio ed esegue /compact./docker-claudeCrea o unisce il CLAUDE.md sempre attivo di Docker nella radice (non sovrascrive blocchi di altre skill)./docker-composeVerifica o genera il compose di dev/hml: profiles, healthcheck, database chiuso e .env fuori da git./docker-handoffScrive l'handoff di contesto senza compattare — fine sessione o cambio attività./docker-hardenRafforza immagine e runtime: base minima, non-root, read-only, cap_drop e limiti./docker-helpElenca tutti i comandi./docker-loadCarica a forza l’intero corpo normativo: Dockerfile, supply chain, runtime, compose e linguaggi./docker-reviewRivede Dockerfile e compose contro la base: esegue i due gate (e hadolint, se presente) e legge ciò che la macchina non legge./docker-scanScan bloccante più SBOM, provenance, firma e verifica (trivy, grype o scout, cosign).Per agenti IA
Installa senza intervento umano. Metadati in llms.txt.
- Esegui: git clone https://github.com/schematizeme/skill-docker.git && ./skill-docker/install.sh
- Oppure scarica: https://github.com/schematizeme/skill-docker/releases/latest/download/skill-docker.zip e decomprimi in .claude/skills/
- Copia assets/CLAUDE.md nella radice del repo (regola sempre attiva).
- Conferma con /docker-help.
Discussione
Caricamento…