$ cat <<EOF > kubesec-test.yaml
apiVersion: v1
kind: Pod
metadata:
  name: kubesec-demo
spec:
  containers:
  - name: kubesec-demo
    image: gcr.io/google-samples/node-hello:1.0
    securityContext:
      readOnlyRootFilesystem: true
EOF

# 로컬 바이너리 사용
kubesec scan kubesec-test.yaml

# 또는 Docker 사용
docker run -i kubesec/kubesec:v2 scan /dev/stdin < kubesec-test.yaml

# 사람이 읽기 쉬운 테이블 출력 형식으로 로컬 바이너리 사용
kubesec scan kubesec-test.yaml --format table

$ go install github.com/controlplaneio/kubesec/v2@latest

$ GO111MODULE="on" go get github.com/controlplaneio/kubesec/v2

# 특정 로컬 YAML 파일 스캔
kubesec scan ./deployment.yaml

# 표준 입력에서 스캔 (JSON 또는 YAML)
cat file.json | kubesec scan -

# 렌더링된 Helm 차트 스캔
helm template -f values.yaml ./chart | kubesec scan /dev/stdin

# '---'로 구분된 여러 YAML 문서 스캔
{ cat test/asset/multi.yml; echo "---"; cat test/asset/critical.yml; } | kubesec scan -

# Docker에서 표준 입력을 통해 파일 스캔
docker run -i kubesec/kubesec:v2 scan /dev/stdin < kubesec-test.yaml

# JSON 배열 출력 (기본 동작)
kubesec scan ./deployment.yaml --format json

# 사람이 읽을 수 있는 테이블 출력
kubesec scan ./deployment.yaml --format table

# 출력에 사용자 정의 템플릿 사용
kubesec scan ./deployment.yaml --format template --template report-template.tmpl

# 단일 규칙
kubesec scan --rules CapSysAdmin kubesec-test.yaml

# 여러 규칙
kubesec scan --rules RunAsNonRoot,SeccompAny,ApparmorAny kubesec-test.yaml

[
  {
    "object": "Pod/security-context-demo.default",
    "valid": true,
    "message": "Failed with a score of -30 points",
    "score": -30,
    "scoring": {
      "critical": [
        {
          "selector": "containers[] .securityContext .capabilities .add == SYS_ADMIN",
          "reason": "CAP_SYS_ADMIN is the most privileged capability and should always be avoided",
          "points": -30
        }
      ],
      "advise": [
        {
          "selector": "containers[] .securityContext .runAsNonRoot == true",
          "reason": "Force the running image to run as a non-root user to ensure least privilege",
          "points": 1
        },
        {
          // ...
        }
      ]
    }
  }
]

# 연결된 점수와 함께 모든 스캔 규칙 출력
kubesec print-rules

# 연결된 점수와 함께 모든 스캔 규칙을 테이블로 출력
kubesec print-rules --format table

[
  {
    "id": "AllowPrivilegeEscalation",
    "selector": "containers[] .securityContext .allowPrivilegeEscalation == true",
    "reason": "Ensure a non-root process can not gain more privileges",
    "kinds": [
      "Pod",
      "Deployment",
      "StatefulSet",
      "DaemonSet"
    ],
    "points": -7,
    "advise": 0
  },
...
]

# 업스트림의 최신 스키마 사용
# 스키마는 다음에서 가져옵니다: https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/master-standalone-strict/pod-v1.json
kubesec scan ./pod.yaml

# 업스트림의 특정 스키마 버전 사용 (v 접두사 없이 x.y.z 형식)
# 스키마는 다음에서 가져옵니다: https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/v1.25.3-standalone-strict/pod-v1.json
kubesec scan ./pod.yaml --kubernetes-version 1.25.3

# airgap 환경에서 HTTP를 통해 특정 스키마 버전 사용
# 스키마는 다음에서 가져옵니다: `https://host.server/v<version>-standalone-strict/pod-v1.json`
kubesec scan ./deployment.yaml --kubernetes-version <version> --schema-location https://host.server

# airgap 환경에서 로컬 파일로 특정 스키마 버전 사용
# 스키마는 다음에서 읽습니다: `/opt/schemas/v<version>-standalone-strict/pod-v1.json`
kubesec scan ./deployment.yaml --kubernetes-version <version> --schema-location /opt/schemas

# 백그라운드에서 8080 포트로 HTTP 서버 시작
kubesec http 8080 &

# 실행 중인 서버에 파일을 POST로 전송
curl -sSX POST --data-binary @deployment.yaml http://localhost:8080/scan

# 완료되면 백그라운드 로컬 서버 중지
kill %

# Docker를 사용하여 HTTP 서버 시작
docker run -d -p 8080:8080 kubesec/kubesec:v2 http 8080

# 실행 중인 서버에 파일을 POST로 전송
curl -sSX POST --data-binary @deployment.yaml http://localhost:8080/scan

# 호스팅되는 v2 API에 매니페스트 직접 제출
curl -sSX POST --data-binary @"deployment.yaml" https://v2.kubesec.io/scan

# jq를 사용하여 API 출력을 파싱하고, 점수가 10 이하이면 0이 아닌 종료 코드 반환
curl -sSX POST --data-binary @"deployment.yaml" https://v2.kubesec.io/scan | jq --exit-status '.score > 10'

# "rule" 쿼리 매개변수를 사용하여 특정 규칙만 스캔 (여러 개 지원)
curl -sSX POST --data-binary @test/asset/score-0-cap-sys-admin.yml "http://localhost:8080/scan?rule=SeccompAny&rule=ApparmorAny"

# BASH 함수 정의
$ kubesec ()
{
    local FILE="${1:-}";
    [[ ! -e "${FILE}" ]] && {
        echo "kubesec: ${FILE}: No such file" >&2;
        return 1
    };
    curl --silent \
      --compressed \
      --connect-timeout 5 \
      -sSX POST \
      --data-binary=@"${FILE}" \
      https://v2.kubesec.io/scan
}


# Kubernetes 리소스를 v2.kubesec.io/scan에 POST
$ kubesec ./deployment.yml

# 점수가 10보다 크지 않으면 0이 아닌 상태 코드 반환
$ kubesec ./score-9-deployment.yml | jq --exit-status '.score > 10' >/dev/null
# status code 1