# Фрагмент values.yaml, основанный на практике YC
usageTracking:
  enabled: true
  exporter: clickhouse
  clickhouse:
    hosts:
      - rc1a-xxxxxx.mdb.yandexcloud.net:9440
    database: datalens_logs
    table: usage_events
    user: tracker
    tls_mode: REQUIRE

Сегмент 1: sales {A, C, E}, products {A, D}
Сегмент 2: sales {B, D, F}, products {B, C}

-- Таблицы созданы без общей стратегии дистрибуции
CREATE TABLE sales (sale_id bigint, product_id int, amount decimal)
DISTRIBUTED RANDOMLY; -- или DISTRIBUTED BY (sale_id)

CREATE TABLE products (product_id int, name text)
DISTRIBUTED BY (product_id);

-- Правильная дистрибуция по общему ключу соединения
CREATE TABLE sales_opt (sale_id bigint, product_id int, amount decimal)
DISTRIBUTED BY (product_id); -- Теперь product_id совпадает с products!

CREATE TABLE products (product_id int, name text)
DISTRIBUTED BY (product_id);

# ⛔️ ОШИБКА, НЕ ДЕЛАЙ ТАК!
sudo chown root my_tool.sh
sudo chmod u+s my_tool.sh

#!/bin/bash
# ...какой-то код...
# Вот уязвимость:
ps aux
# ...

    # Этот "ps" на самом деле запускает шелл
    echo '/bin/bash' > /home/attacker/ps
    chmod +x /home/attacker/ps
    

    export PATH=/home/attacker:$PATH
    

    sudo /path/to/victim_script.sh
    

# Дать право запускать ТОЛЬКО один конкретный скрипт без пароля
developer ALL=(root) NOPASSWD: /usr/local/bin/my_awesome_tool.sh

version: '3.8'

services:
  docker-proxy:
    image: tecnativa/docker-socket-proxy
    container_name: docker-proxy
    privileged: true # Нужно для доступа к реальному сокету
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro # Монтируем оригинал в RO
    environment:
      # --- Политика безопасности ---
      # Разрешаем только безопасные операции
      CONTAINERS: 1  # List containers
      IMAGES: 1      # List images
      NETWORKS: 1    # List networks
      VOLUMES: 1     # List volumes
      INFO: 1        # System info
      
      # Запрещаем всё, что может менять состояние
      POST: 0        # Запрет на создание (POST)
      DELETE: 0      # Запрет на удаление
      AUTH: 0        # Запрет auth
      SECRETS: 0     # Не палить секреты
      # Остальное по умолчанию запрещено образом
    ports:
      - "127.0.0.1:2375:2375" # Слушаем только на localhost!
    restart: unless-stopped
    networks:
      - proxy-net

# Пример сервиса, которому нужен доступ к докеру (например, мониторинг)
  monitoring-agent:
    image: alpine:latest
    command: ["curl", "https://docker-proxy:2375/containers/json"]
    depends_on:
      - docker-proxy
    networks:
      - proxy-net

networks:
  proxy-net:
    internal: true # Изолированная сеть