‫الأول هو في الأساس القيام ببعض القراءة.
‫مثل هذا الجزء العلوي يدور حول منح نفسك التعليم الأساسي
‫لما ... كيف يعمل
‫Docker؟ ما هو الأمان الأساسي في Docker؟
‫كيف يقوم Docker حتى ، كما تعلم ، بحماية
‫حاويتك؟ هذا النوع من الأشياء.
‫لدي أساسا حديث عن الإنتاج يمكنك مشاهدته
‫هنا. لن نشاهد ذلك الآن.
‫لدي رابط هنا لدليل أمان Docker.
‫الآن ، ما هو مثير للاهتمام حول دليل أمان Docker
‫هنا هو أنه يتعلق فقط
‫بكيفية عمل أمان Docker؟
‫أو كيف يعمل Docker نفسه؟
‫هناك طريقة أفضل أشرطة الفيديو في المقرر الدراسي الخاص بي.
‫أضع روابط لمقاطع فيديو مرجعية أخرى مدتها ساعة
‫كاملة حول أسس Docker.
‫الشيئان الرئيسيان اللذان تحتاج إلى الاهتمام بهما هما مساحات
‫أسماء kernel و Cgroups.
‫مساحات الأسماء ، يمرون بنظرة عامة
‫لطيفة حول كيفية عمل هذه الأشياء.
‫الملخص هنا هو ميزتان رئيسيتان
‫في Linux تسمحان لـ Docker بأن يكون
‫ممكنًا. تعد مساحات أسماء Kernel طريقة
‫يستخدمها kernel لأخذ تطبيق أو مجموعة من
‫التطبيقات ومساحات الأسماء عليها.
‫يُحد Namespace بشكل أساسي من وجهة نظرهم
‫، أو وصولهم إلى أي موارد ، أو ما يرونه ، سواء
‫كان ذلك عبر الشبكات ، أو البرامج الأخرى في الذاكرة
‫، أو الملفات الموجودة على القرص ، فهو يحد من هذا النطاق لكل
‫برنامج.
‫لذلك ، يمكن أن يكون لكل برنامج فردي ، ونحن نعرف
‫هذه الحاويات الآن. لأن مساحات الأسماء
‫ليست خاصة بـ Docker. لقد كان وقتًا أطول بكثير مما
‫كان عليه Docker. لقد كان موجودًا في الواقع
‫كمفهوم في توزيعات يونكس المختلفة لأكثر من عقد.
‫ربما سمعنا هذا في Solaris Jails أو أنواع أخرى من التقنيات التي
‫جعلتك تعتقد أنك كنت على خادمك الخاص
‫، ولكن في الحقيقة ، كنت محتجزًا داخل
‫خادم مع العديد من الأشخاص الآخرين والعديد
‫من التطبيقات الأخرى ، أليس كذلك.
‫لقد
‫فعلنا ذلك كثيرًا في Linux ومنصات الاستضافة.
‫مساحات الأسماء هي تلك الميزة. يمنح الحاوية الخاصة بك بطاقة
‫واجهة الشبكة الخاصة بها. إنها بطاقة واجهة شبكة افتراضية لتلك الحاوية فقط.
‫إنه يمنحه مساحة الملفات الخاصة
‫به حيث لا يرى بقية نظام الملفات التالي
‫، ولا يسمح له برؤية البرامج الأخرى التي تعمل
‫خارج تلك الحاوية. لذا ، يتعلق الأمر بالوصول إليها وعرضها ، صحيح.
‫هذه مساحات الأسماء.
‫هذا يعمل فقط خارج الصندوق.
‫هذه هي الطريقة التي تجعل Docker حاوية تعمل دون رؤية
‫كل شيء آخر على النظام.
‫الشيء المهم الآخر هو المجموعات الضابطة ،
‫أو نسميها Cgroups للاختصار. مجموعات التحكم هي
‫في الغالب حول الحد من استخدام الموارد.
‫يمكنك إخبار الحاوية أنه لا يمكنها الوصول إلا إلى 1 غيغابايت من ذاكرة الوصول العشوائي
‫ووحدة معالجة مركزية واحدة وهذا النوع من الأشياء.
‫كما يسمح ببعض المقاييس حيث يمكنك قياس الأشياء حول
‫تلك الأشياء ، ولكن الأمر يتعلق في الغالب
‫بالحد من الحاوية الخاصة بك. تذكر أن حاوياتك ، بشكل افتراضي ، يمكنها
‫الوصول إلى جميع الموارد من حيث أنها يمكن أن تستهلك كل مساحة الملف ، ويمكنها
‫أن تأخذ جميع وحدات المعالجة المركزية ، ويمكنها
‫أن تلتهم كل الذاكرة.
‫هذه مجرد حاوية قياسية ، ولكن يمكنك تعيين الخيارات
‫في docker run أو في Swarm أو Kubernetes.
‫أي
‫من هذه الأشياء لديه القدرة على التحكم في الموارد.
‫لكن ، هذا ليس بشكل افتراضي ، صحيح. بشكل افتراضي ، تحصل أي
‫حاوية على كل شيء.
‫عندما تشرع في الإنتاج ، فهذا بالتأكيد مدرج
‫في قائمة مهامك. لن أقول إن مجموعات
‫التحكم هي بالضرورة ميزة أمان باستثناء تطبيق
‫معين يأخذ كل شيء لا ينبغي له ، ومن ثم يجعل
‫الأشياء الأخرى غير قادرة على العمل
‫، بشكل صحيح.
‫هذا ليس ... أنا لا أنظر إلى ذلك على أنه أمن مباشر.
‫أنا أنظر إلى هذا على أنه نوع من شبه متعلق بالأمان ، حيث
‫يمكن لأي شخص من الناحية الفنية رفض الخدمة عن طريق السماح
‫لتطبيقك باستهلاك جميع الموارد الموجودة
‫على الخادم الخاص بك. لذا ، كما تعلمون ، هذا النوع من الأشياء.
‫هذه هي الأساسيات.
‫بمجرد فهم الأساسيات ، هناك عدد قليل من مقالات
‫المدونة الجيدة هنا حول أنواع مختلفة من أدوات الأمان
‫الموجودة هناك. هناك الكثير من الأدوات
‫، صحيح. لن أذكرهم جميعًا اليوم.
‫من الواضح أن هناك الكثير من الأشياء ، لكن
‫الكثير منها معقد ويتطلب مشاريع.
‫عليك أن تقوم بتنفيذها ، أو شرائها ، ثم تخصيص خوادم
‫لها ، بشكل صحيح.
‫منتجات كبيرة تتعلق بالتدقيق ، أو التأكد من تمرير بيانات
‫اعتماد معينة مثل أمان بطاقة الائتمان
‫PCI ، أو أمان اللوائح الحكومية ، هذا النوع
‫من الأشياء.