‫Pierwszy to w zasadzie trochę czytania.
‫Jak ta górna część dotyczy podstawowego wykształcenia tego,
‫co ... jak
‫działa Docker? Jakie są podstawowe zabezpieczenia w Docker?
‫W jaki sposób Docker nawet chroni
‫twój pojemnik? Tego rodzaju rzeczy.
‫Mam w zasadzie rozmowę produkcyjną, którą możecie obejrzeć
‫tutaj. Nie będziemy tego teraz oglądać.
‫Mam tutaj link do przewodnika bezpieczeństwa Docker.
‫Ciekawe w tym przewodniku bezpieczeństwa Docker jest to, że
‫tak naprawdę chodzi
‫o to, jak działa zabezpieczenia Docker?
‫Lub jak działa sam Docker?
‫Na moim kursie są lepsze filmy.
‫Umieszczam tam linki do innych filmów referencyjnych, które trwają całą
‫godzinę na temat podstaw Dockera.
‫Dwie główne rzeczy, o które musisz dbać, to przestrzenie nazw
‫jądra i grupy C.
‫Przestrzenie nazw, przeglądają
‫ładny sposób działania tych rzeczy.
‫Podsumowanie tutaj to dwie główne
‫funkcje w Linuksie, które pozwalają nawet na
‫Docker. Przestrzenie nazw jądra
‫to sposób, w jaki jądro może pobrać
‫aplikację lub zestaw aplikacji i przestrzeni nazw.
‫Przestrzeń nazw zasadniczo ogranicza ich
‫widok, dostęp do dowolnych zasobów lub
‫to, co widzą, czy to sieć, inne
‫programy w pamięci lub pliki na dysku, ogranicza to
‫zakres na program.
‫Może to dotyczyć każdego programu i znamy je
‫teraz jako kontenery. Ponieważ przestrzenie nazw
‫nie są specyficzne dla Dockera. To było o wiele dłużej
‫niż Docker. Przez dekadę
‫istniał jako koncepcja różnych dystrybucji Unixa.
‫Mogliśmy to usłyszeć w Solaris Jails lub innych rodzajach technologii,
‫które zasadniczo sprawiły, że pomyślałeś,
‫że jesteś na swoim własnym
‫serwerze, ale tak naprawdę byłeś zamknięty na
‫serwerze z wieloma innymi osobami i wieloma innymi
‫aplikacjami, prawda. Zrobiliśmy to dużo w Linuksie
‫i platformach hostingowych.
‫Przestrzenie nazw to ta funkcja. Daje Twojemu
‫kontenerowi własną kartę sieciową. To wirtualna karta sieciowa tylko dla tego kontenera.
‫Daje mu własną przestrzeń plików,
‫w której nie widzi reszty następującego systemu
‫plików i nie pozwala widzieć innych programów działających
‫poza tym kontenerem. Chodzi więc o jego dostęp i widok.
‫To przestrzenie nazw.
‫To po prostu działa od razu po wyjęciu z pudełka.
‫W ten sposób Docker uruchamia kontener, nie widząc wszystkiego
‫innego w systemie.
‫Inną dużą rzeczą są grupy kontrolne lub
‫w skrócie nazywamy je Cgroups. Grupy kontrolne
‫dotyczą głównie ograniczenia zużycia zasobów.
‫Możesz powiedzieć kontenerowi, że ma dostęp tylko do 1 GB pamięci
‫RAM, jednego procesora i tego rodzaju rzeczy.
‫Pozwala także na pewne wskaźniki, w których można mierzyć
‫rzeczy wokół tego, ale tak naprawdę chodzi
‫głównie o ograniczenie kontenera. Pamiętaj, że Twoje kontenery
‫domyślnie mogą mieć dostęp do wszystkich zasobów, ponieważ mogą pochłonąć
‫całą przestrzeń plików, mogą zająć wszystkie procesory
‫i mogą pochłonąć całą pamięć.
‫To tylko standardowy kontener, ale możesz ustawić
‫opcje w oknie dokera, w Swarm
‫lub Kubernetes. Każda z tych rzeczy ma
‫możliwość kontrolowania zasobów.
‫Ale to nie jest domyślnie, prawda. Domyślnie każdy kontener
‫otrzymuje wszystko.
‫Kiedy idziesz do produkcji, jest to zdecydowanie na twojej liście
‫rzeczy do zrobienia. Nie powiedziałbym, że
‫grupy kontrolne są koniecznie funkcją bezpieczeństwa, z wyjątkiem tego, że
‫konkretna aplikacja zajmuje wszystko, czego nie powinna, a
‫wtedy sprawia, że inne rzeczy nie są
‫w stanie działać, prawda.
‫To nie... Nie uważam tego za bezpośrednie bezpieczeństwo.
‫Patrzę na to jako na częściowo związane z
‫bezpieczeństwem, gdzie ktoś może technicznie odmówić usługi, pozwalając
‫twojej aplikacji na zjedzenie wszystkich zasobów
‫na twoim serwerze. Wiesz, tego rodzaju rzeczy.
‫To są podstawy.
‫Po zapoznaniu się z podstawami znajdziesz
‫kilka dobrych artykułów na blogu na temat różnych
‫rodzajów narzędzi bezpieczeństwa. Jest mnóstwo narzędzi,
‫prawda. Nie będę dzisiaj wspominał o nich wszystkich.
‫Oczywiście jest wiele rzeczy, ale wiele z
‫nich jest skomplikowanych i wymaga projektów.
‫Musisz je zaimplementować lub kupić, a następnie poświęcić
‫im serwery.
‫Duże produkty związane z audytem lub upewniające się, że
‫przekazujesz pewne poświadczenia, takie jak bezpieczeństwo
‫karty kredytowej PCI lub bezpieczeństwo przepisów
‫rządowych, tego rodzaju rzeczy.