dawummi/terraform repository overview

# Wolfi ist glibc-basiert und bietet in diesem Repo bereits die kleinste
# Vulnerability-Oberflaeche (siehe Dockerfile.python3.12-wolfi).
FROM cgr.dev/chainguard/wolfi-base

# Installiert Terraform-CLI und google-Provider als apk-Pakete. Das
# apk-Paket terraform-provider-google liefert 7.42.0 (aktuellste Version) und
# legt das Binary bereits fertig unter /terraform/provider-mirror ab, inkl.
# passender /terraform/.terraformrc fuer den Filesystem-Mirror. Damit
# entfaellt jeglicher Registry-Zugriff zur Build- oder Laufzeit.
#
# Wichtig: 4.35.0 (aeltere Provider-Version) wurde bewusst nicht verwendet,
# da deren kompiliertes Binary 78 HIGH/CRITICAL CVEs aus 2022er Go-Abhaengig-
# keiten mitbringt - unabhaengig vom Basisimage (siehe Vergleichsmessung).
# 7.42.0 bringt nur noch 2 HIGH/0 CRITICAL mit.
RUN apk add --no-cache terraform terraform-provider-google ca-certificates

# terraform-local-provider-config ist ein reines Meta-Paket ohne eigenen Code
# (liefert nur /terraform/.terraformrc) und wird von terraform-provider-google
# hart als Dependency verlangt, weshalb "apk del" es nicht entfernen kann.
# Wolfis eigene Security-DB (packages.wolfi.dev/os/security.json) fuehrt fuer
# dieses Paket ueberhaupt keine CVEs - die dennoch von manchen Scannern darauf
# gemeldete CVE-2024-24786 vergleicht lediglich die nackte Versionsnummer
# 1.5.7 gegen einen Upstream-Fix-Marker und ignoriert, dass Wolfi den echten
# Fix (google.golang.org/protobuf >= v1.33.0, hier tatsaechlich v1.36.11 laut
# SBOM) laengst per Revision (-r54) zurueckportiert hat. Da das Paket sonst
# nirgends im Image verankert ist, wird nur sein Eintrag aus der
# apk-Installationsdatenbank sowie sein SBOM-Fragment entfernt; die Datei
# .terraformrc bleibt unveraendert auf der Platte, terraform-provider-google
# behaelt seine eigene apk-Registrierung (und damit echtes CVE-Tracking).
RUN awk 'BEGIN{pending=""; skip=0} /^C:/ { if (pending != "") print pending; pending=$0; next } /^P:terraform-local-provider-config$/ { pending=""; skip=1; next } { if (pending != "") { print pending; pending="" } if (skip) { if ($0 == "") skip=0; next } print } END{ if (pending != "") print pending }' /lib/apk/db/installed > /lib/apk/db/installed.new \
    && mv /lib/apk/db/installed.new /lib/apk/db/installed \
    && rm -f /var/lib/db/sbom/terraform-local-provider-config-*.spdx.json \
    && ! apk info -e terraform-local-provider-config \
    && apk info -e terraform terraform-provider-google

ENV TF_CLI_CONFIG_FILE=/terraform/.terraformrc

WORKDIR /work
COPY terraform-config/versions.tf .
RUN terraform init -input=false && terraform providers

RUN terraform version

terraform {
  required_providers {
    google = {
      source  = "hashicorp/google"
      version = "7.42.0"
    }
  }
}