$ cat <<EOF > kubesec-test.yaml
apiVersion: v1
kind: Pod
metadata:
  name: kubesec-demo
spec:
  containers:
  - name: kubesec-demo
    image: gcr.io/google-samples/node-hello:1.0
    securityContext:
      readOnlyRootFilesystem: true
EOF

# Usando o binário local
kubesec scan kubesec-test.yaml

# Ou usando Docker
docker run -i kubesec/kubesec:v2 scan /dev/stdin < kubesec-test.yaml

# Usando o binário local com um formato de saída de tabela legível por humanos
kubesec scan kubesec-test.yaml --format table

$ go install github.com/controlplaneio/kubesec/v2@latest

$ GO111MODULE="on" go get github.com/controlplaneio/kubesec/v2

# Analisar um arquivo YAML local específico
kubesec scan ./deployment.yaml

# Analisar a partir da entrada padrão (JSON ou YAML)
cat file.json | kubesec scan -

# Analisar um chart Helm renderizado
helm template -f values.yaml ./chart | kubesec scan /dev/stdin

# Analisar vários documentos YAML separados por '---'
{ cat test/asset/multi.yml; echo "---"; cat test/asset/critical.yml; } | kubesec scan -

# Analisar um arquivo via Docker usando entrada padrão
docker run -i kubesec/kubesec:v2 scan /dev/stdin < kubesec-test.yaml

# Saída em array JSON (comportamento padrão)
kubesec scan ./deployment.yaml --format json

# Saída em tabela legível por humanos
kubesec scan ./deployment.yaml --format table

# Usar um template personalizado para a saída
kubesec scan ./deployment.yaml --format template --template report-template.tmpl

# Uma regra
kubesec scan --rules CapSysAdmin kubesec-test.yaml

# Várias regras
kubesec scan --rules RunAsNonRoot,SeccompAny,ApparmorAny kubesec-test.yaml

[
  {
    "object": "Pod/security-context-demo.default",
    "valid": true,
    "message": "Failed with a score of -30 points",
    "score": -30,
    "scoring": {
      "critical": [
        {
          "selector": "containers[] .securityContext .capabilities .add == SYS_ADMIN",
          "reason": "CAP_SYS_ADMIN is the most privileged capability and should always be avoided",
          "points": -30
        }
      ],
      "advise": [
        {
          "selector": "containers[] .securityContext .runAsNonRoot == true",
          "reason": "Force the running image to run as a non-root user to ensure least privilege",
          "points": 1
        },
        {
          // ...
        }
      ]
    }
  }
]

# Imprimir todas as regras de análise com suas pontuações associadas
kubesec print-rules

# Imprimir todas as regras de análise com suas pontuações associadas como tabela
kubesec print-rules --format table

[
  {
    "id": "AllowPrivilegeEscalation",
    "selector": "containers[] .securityContext .allowPrivilegeEscalation == true",
    "reason": "Ensure a non-root process can not gain more privileges",
    "kinds": [
      "Pod",
      "Deployment",
      "StatefulSet",
      "DaemonSet"
    ],
    "points": -7,
    "advise": 0
  },
...
]

# Usa o schema mais recente do upstream
# O schema será obtido de: https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/master-standalone-strict/pod-v1.json
kubesec scan ./pod.yaml

# Usa uma versão de schema específica do upstream (formato x.y.z sem o prefixo v)
# O schema será obtido de: https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/v1.25.3-standalone-strict/pod-v1.json
kubesec scan ./pod.yaml --kubernetes-version 1.25.3

# Usa uma versão de schema específica em um ambiente isolado via HTTP
# O schema será obtido de: `https://host.server/v<version>-standalone-strict/pod-v1.json`
kubesec scan ./deployment.yaml --kubernetes-version <version> --schema-location https://host.server

# Usa uma versão de schema específica em um ambiente isolado com arquivos locais
# O schema será lido de: `/opt/schemas/v<version>-standalone-strict/pod-v1.json`
kubesec scan ./deployment.yaml --kubernetes-version <version> --schema-location /opt/schemas

# Iniciar o servidor HTTP em segundo plano na porta 8080
kubesec http 8080 &

# Enviar um arquivo ao servidor em execução via POST
curl -sSX POST --data-binary @deployment.yaml http://localhost:8080/scan

# Parar o servidor local em segundo plano quando terminar
kill %

# Iniciar o servidor HTTP via Docker
docker run -d -p 8080:8080 kubesec/kubesec:v2 http 8080

# Enviar um arquivo ao servidor em execução via POST
curl -sSX POST --data-binary @deployment.yaml http://localhost:8080/scan

# Enviar um manifesto diretamente para a API v2 hospedada
curl -sSX POST --data-binary @"deployment.yaml" https://v2.kubesec.io/scan

# Analisar a saída da API usando jq para retornar um código de saída diferente de zero se a pontuação for <= 10
curl -sSX POST --data-binary @"deployment.yaml" https://v2.kubesec.io/scan | jq --exit-status '.score > 10'

# Usar o parâmetro de consulta "rule" para analisar apenas regras específicas (várias são suportadas)
curl -sSX POST --data-binary @test/asset/score-0-cap-sys-admin.yml "http://localhost:8080/scan?rule=SeccompAny&rule=ApparmorAny"

# Definir uma função BASH
$ kubesec ()
{
    local FILE="${1:-}";
    [[ ! -e "${FILE}" ]] && {
        echo "kubesec: ${FILE}: No such file" >&2;
        return 1
    };
    curl --silent \
      --compressed \
      --connect-timeout 5 \
      -sSX POST \
      --data-binary=@"${FILE}" \
      https://v2.kubesec.io/scan
}


# Enviar um recurso Kubernetes para v2.kubesec.io/scan
$ kubesec ./deployment.yml

# Retornar código de status diferente de zero se a pontuação não for maior que 10
$ kubesec ./score-9-deployment.yml | jq --exit-status '.score > 10' >/dev/null
# código de status 1