‫Yang pertama pada dasarnya membaca.
‫Seperti bagian atas ini adalah memberi diri Anda pendidikan dasar
‫tentang apa ... bagaimana
‫cara kerja Docker? Apa keamanan dasar di Docker?
‫Bagaimana Docker bahkan, Anda tahu, melindungi
‫wadah Anda? Semacam itu.
‫Saya pada dasarnya memiliki pembicaraan produksi yang dapat Anda tonton
‫di sini. Kami tidak akan menonton itu sekarang.
‫Saya punya tautan di sini ke panduan keamanan Docker.
‫Sekarang, apa yang menarik tentang panduan keamanan Docker di sini
‫adalah bahwa itu
‫benar-benar hanya tentang bagaimana keamanan Docker bekerja?
‫Atau, bagaimana cara kerja Docker sendiri?
‫Ada video yang jauh lebih baik dalam kursus saya.
‫Saya menaruh tautan di sana ke video referensi lain yang
‫satu jam penuh tentang dasar-dasar Docker.
‫Dua hal utama yang perlu Anda perhatikan adalah ruang
‫nama kernel dan Cgroup.
‫Namespaces, mereka melalui ikhtisar
‫bagus tentang bagaimana hal ini bekerja.
‫Ringkasan di sini ada dua,
‫fitur utama di Linux yang memungkinkan Docker
‫menjadi mungkin. Ruang nama kernel
‫adalah cara bagi kernel untuk mengambil
‫aplikasi, atau sekumpulan aplikasi, dan namespace mereka.
‫Namespace pada dasarnya membatasi pandangan mereka,
‫akses mereka ke sumber daya apa pun,
‫atau apa yang mereka lihat, apakah itu jaringan,
‫program lain dalam memori, atau file pada disk, membatasi ruang
‫lingkup per program.
‫Jadi, bisa untuk setiap program individu, dan kami tahu
‫itu sebagai wadah sekarang. Karena ruang nama
‫tidak khusus untuk Docker. Itu sekitar jauh lebih lama
‫daripada Docker. Sebenarnya sudah ada sebagai
‫konsep dalam distribusi Unix yang berbeda selama lebih dari satu dekade.
‫Kami mungkin pernah mendengar ini di Penjara Solaris atau jenis teknologi
‫lainnya yang pada dasarnya membuat Anda
‫berpikir bahwa Anda berada di
‫server Anda sendiri, tetapi sebenarnya, Anda terkandung di
‫dalam server dengan banyak orang lain dan banyak
‫aplikasi lain, benar. Kami telah melakukan banyak hal di
‫platform Linux dan hosting.
‫Namespaces adalah fitur itu. Ini memberi
‫wadah Anda NIC sendiri. Ini adalah NIC virtual hanya untuk wadah itu.
‫Ini memberikan ruang file sendiri
‫di mana ia tidak melihat sisa dari sistem
‫file berikut, dan tidak membiarkannya melihat program lain berjalan
‫di luar wadah itu. Jadi, ini tentang akses dan tampilan, benar.
‫Itu ruang nama.
‫Itu hanya bekerja di luar kotak.
‫Begitulah cara Docker membuat wadah berjalan tanpa melihat semua yang
‫lain pada sistem.
‫Hal besar lainnya adalah kelompok kontrol, atau
‫kami menyebutnya sebagai Cgroup. Kelompok kontrol
‫kebanyakan tentang membatasi penggunaan sumber daya.
‫Anda dapat mengatakan bahwa wadah itu hanya memiliki akses ke
‫1GB RAM, satu CPU, hal-hal semacam itu.
‫Ini juga memungkinkan untuk beberapa metrik di mana Anda dapat
‫mengukur hal-hal di sekitar hal itu, tetapi sebagian
‫besar tentang membatasi wadah Anda. Ingat, kontainer Anda, secara default,
‫dapat memiliki akses ke semua sumber daya dalam hal mereka dapat memakan
‫semua ruang file, mereka dapat mengambil semua CPU,
‫dan mereka dapat memakan semua memori.
‫Itu hanya kontainer standar, tetapi Anda dapat mengatur
‫opsi di docker run, atau di Swarm,
‫atau Kubernetes. Semua hal itu memiliki kemampuan bagi Anda
‫untuk mengendalikan sumber daya.
‫Tapi, itu tidak secara default, benar. Secara default, semua wadah
‫mendapatkan segalanya.
‫Ketika Anda masuk ke produksi, ini pasti pada daftar yang
‫harus Anda lakukan. Saya tidak
‫akan mengatakan grup kontrol adalah fitur keamanan kecuali untuk
‫aplikasi tertentu yang mengambil semua yang tidak
‫seharusnya, dan kemudian membuat hal-hal lain
‫tidak dapat berjalan, benar.
‫Itu bukan... Saya tidak melihatnya sebagai keamanan langsung.
‫Saya melihat itu sebagai semacam semi-terkait dengan keamanan, di
‫mana seseorang secara teknis dapat melakukan penolakan layanan dengan
‫membiarkan aplikasi Anda memakan semua sumber
‫daya di server Anda. Jadi, Anda tahu, hal semacam itu.
‫Itulah dasar-dasarnya.
‫Setelah Anda memahami dasar-dasarnya, ada beberapa artikel
‫blog yang bagus di sini tentang berbagai jenis alat
‫keamanan di luar sana. Ada banyak alat,
‫benar. Saya tidak akan menyebutkan semuanya hari ini.
‫Jelas, ada banyak hal di luar sana, tetapi banyak
‫dari mereka yang rumit dan mengambil proyek.
‫Anda harus mengimplementasikannya, atau membelinya, dan kemudian mendedikasikan server untuk
‫mereka, benar.
‫Produk besar seputar audit, atau memastikan Anda lulus
‫kredensial tertentu seperti keamanan kartu kredit
‫PCI, atau keamanan peraturan pemerintah,
‫hal-hal semacam itu.