‫Le premier consiste essentiellement à lire.
‫Comme cette partie supérieure est autour de vous donner l'éducation de base de
‫ce que ... Comment
‫fonctionne Docker? Qu'est-ce que la sécurité de base dans Docker?
‫Comment Docker protège-t-il même votre
‫conteneur? Ce genre de choses.
‫J'ai essentiellement une conversation de production que vous pouvez
‫regarder ici. Nous n'allons pas regarder ça maintenant.
‫J'ai ici un lien vers le guide de sécurité Docker.
‫Ce qui est intéressant à propos du guide de sécurité Docker,
‫c’est qu’il s’agit
‫simplement de savoir comment fonctionne la sécurité Docker.
‫Ou comment Docker fonctionne-t-il?
‫Il y a de bien meilleures vidéos dans mon cours.
‫J'y ai mis des liens vers d'autres vidéos de référence d'une heure
‫entière sur les fondements de Docker.
‫Les deux choses principales dont vous devez vous soucier sont les espaces de noms du
‫noyau et les groupes de contrôle.
‫Les espaces de noms, ils passent par
‫un bon aperçu de la façon dont cela fonctionne.
‫En résumé, il existe deux principales
‫fonctionnalités sous Linux qui permettent même à Docker
‫d’être possible. Les espaces de noms du
‫noyau permettent au noyau de prendre une application ou un
‫ensemble d'applications et de les mettre en espace de noms.
‫Namespace limite essentiellement leur vue, leur accès
‫à toutes les ressources, ou ce qu’ils
‫voient, qu’il s’agisse de la mise en réseau, d’autres
‫programmes en mémoire ou de fichiers sur disque, il limite cette
‫étendue par programme.
‫Donc, cela peut être pour chaque programme, et nous les connaissons
‫maintenant comme des conteneurs. Parce que les espaces de
‫noms ne sont pas spécifiques à Docker. C’était beaucoup plus long
‫que Docker. Cela fait plus de
‫10 ans que ce concept est utilisé dans différentes distributions Unix.
‫Nous avons peut-être entendu cela dans Solaris Jails ou dans d'autres types de
‫technologies qui vous ont essentiellement fait penser
‫que vous étiez sur votre propre serveur,
‫mais en réalité, vous étiez confiné à l'intérieur d'un
‫serveur avec de nombreuses autres personnes et de nombreuses autres
‫applications, n'est-ce pas? Nous l'avons souvent fait sur les
‫plateformes Linux et d'hébergement.
‫Les espaces de noms sont cette fonctionnalité. Il donne à votre
‫conteneur sa propre carte réseau. C'est une carte réseau virtuelle juste pour ce conteneur.
‫Il lui donne son propre espace fichier
‫où il ne voit pas le reste du système de
‫fichiers suivant et ne le laisse pas voir les autres programmes s'exécutant
‫en dehors de ce conteneur. Donc, il est question de son accès et de sa vue, non.
‫C'est des espaces de noms.
‫Cela fonctionne tout simplement.
‫C'est ainsi que Docker exécute un conteneur sans voir tout
‫le reste du système.
‫L'autre grande chose est les groupes de contrôle, ou
‫nous appelons les groupes de groupes. Les groupes de
‫contrôle visent principalement à limiter l'utilisation des ressources.
‫Vous pouvez dire à un conteneur qu'il n'a accès qu'à 1 Go de
‫RAM, à un processeur, à ce genre de choses.
‫Cela permet également de mettre en place des métriques
‫permettant de mesurer certaines choses, mais il s’agit
‫surtout de limiter votre conteneur. N'oubliez pas que vos conteneurs,
‫par défaut, peuvent accéder à toutes les ressources en termes de capacité
‫à occuper tout l'espace fichier, à tous les
‫processeurs et à toute la mémoire.
‫Il s’agit d’un conteneur standard, mais vous
‫pouvez définir des options dans Docker, Swarm
‫ou Kubernetes. Chacune de ces choses a la capacité
‫de contrôler les ressources.
‫Mais ce n'est tout simplement pas par défaut, d'accord. Par défaut, tout conteneur
‫obtient tout.
‫Lorsque vous commencez la production, ceci est définitivement sur votre liste
‫de choses à faire. Je ne dirais
‫pas que les groupes de contrôle sont nécessairement une fonctionnalité de
‫sécurité, sauf qu'une application particulière prend tout ce qu'elle
‫ne devrait pas, et ensuite, d'autres choses ne
‫peuvent pas être exécutées, n'est-ce pas?
‫Ce n'est pas... Je ne considère pas cela comme une sécurité directe.
‫Je considère cela comme une sorte de semi-liée à la
‫sécurité, où quelqu'un pourrait techniquement faire un déni de service
‫en laissant votre application dévorer toutes les
‫ressources de votre serveur. Donc, vous savez, ce genre de chose.
‫Ce sont les bases.
‫Une fois que vous avez compris les
‫bases, voici quelques bons articles de blog sur différents
‫types d’outils de sécurité. Il y a des tonnes
‫d'outils, non. Je ne vais pas tous les mentionner aujourd'hui.
‫Évidemment, il y a beaucoup de choses là-bas, mais beaucoup
‫d'entre elles sont compliquées et prennent des projets.
‫Vous devez les implémenter, ou les acheter, puis leur dédier
‫des serveurs, d'accord.
‫De gros produits autour de l'audit, ou de vous assurer de
‫transmettre certaines informations d'identification, telles que la sécurité
‫d'une carte de crédit PCI, ou la sécurité
‫d'une réglementation gouvernementale, etc.