‫อย่างแรกเลยก็คือการอ่านหนังสือ
‫เช่นเดียวกับด้านบนนี้เป็นการให้ความรู้พื้นฐานเกี่ยวกับสิ่งที่...
‫Docker
‫ทำงานอย่างไร ความปลอดภัยพื้นฐานใน Docker คืออะไร?
‫Docker ปกป้องคอนเทนเนอร์ของคุณได้อย่างไร?
‫ของแบบนั้น
‫ฉันมีพื้นฐานการพูดคุยด้านการผลิตที่คุณสามารถรับชมได้ที่นี่
‫เราจะไม่ดูสิ่งนั้นตอนนี้
‫ฉันมีลิงก์ที่นี่เพื่อไปยังคู่มือความปลอดภัยของ Docker
‫สิ่งที่น่าสนใจเกี่ยวกับคู่มือความปลอดภัยของ Docker
‫ที่นี่คือ จริงๆ แล้วความปลอดภัยของ
‫Docker ทำงานอย่างไร
‫หรือ Docker ทำงานอย่างไร
‫มีวิดีโอที่ดีกว่าในหลักสูตรของฉัน
‫ฉันใส่ลิงก์ในวิดีโออ้างอิงอื่นๆ ที่เกี่ยวกับการสนับสนุนของ
‫Docker ตลอดทั้งชั่วโมง
‫สองสิ่งสำคัญที่คุณต้องใส่ใจคือเคอร์เนลเนมสเปซและ
‫Cgroups
‫เนมสเปซ พวกเขาอธิบายภาพรวมที่ดีว่าสิ่งนี้ทำงานอย่างไร
‫สรุปคือมีสองคุณสมบัติหลักใน
‫Linux ที่ทำให้ Docker เป็นไปได้
‫เนมสเปซเคอร์เนลเป็นวิธีที่เคอร์เนลใช้แอปพลิเคชันหรือชุดของแอปพลิเคชันและเนมสเปซ
‫โดยพื้นฐานแล้ว เนมสเปซจำกัดมุมมอง
‫การเข้าถึงทรัพยากรใดๆ หรือสิ่งที่พวกเขาเห็น
‫ไม่ว่าจะเป็นเครือข่าย โปรแกรมอื่นๆ ในหน่วยความจำ
‫หรือไฟล์บนดิสก์ จะจำกัดขอบเขตนั้นต่อโปรแกรม
‫ดังนั้น มันอาจเป็นได้สำหรับแต่ละโปรแกรม และเรารู้ดีว่าสิ่งเหล่านี้เป็นคอนเทนเนอร์ในตอนนี้
‫เนื่องจากเนมสเปซไม่ได้เจาะจงสำหรับ
‫Docker มันยาวนานกว่า
‫Docker มาก มันเป็นแนวคิดในการแจกแจง
‫Unix ที่แตกต่างกันมานานกว่าทศวรรษ
‫เราอาจเคยได้ยินเรื่องนี้ใน Solaris Jails หรือเทคโนโลยีประเภทอื่นๆ
‫ที่ทำให้คุณคิดว่าคุณอยู่บนเซิร์ฟเวอร์ของคุณเอง แต่จริงๆ แล้ว คุณอยู่ในเซิร์ฟเวอร์ที่มีผู้คนมากมายและแอปอื่นๆ อีกมากมายใช่ไหม
‫เราทำมามากแล้วใน
‫Linux และแพลตฟอร์มโฮสติ้ง
‫เนมสเปซเป็นคุณสมบัตินั้น มันทำให้คอนเทนเนอร์ของคุณมี
‫NIC มันเป็น NIC เสมือนสำหรับคอนเทนเนอร์นั้นเท่านั้น
‫มันให้พื้นที่ไฟล์ของตัวเองโดยที่ไม่เห็นส่วนที่เหลือของระบบไฟล์ต่อไปนี้ และไม่อนุญาตให้โปรแกรมอื่นทำงานนอกคอนเทนเนอร์นั้น
‫ดังนั้นมันเกี่ยวกับการเข้าถึงและการดูใช่ไหม
‫นั่นคือเนมสเปซ
‫ที่ใช้งานได้ทันที
‫นั่นเป็นวิธีที่ Docker ทำให้คอนเทนเนอร์ทำงานโดยไม่เห็นอย่างอื่นในระบบ
‫สิ่งที่สำคัญอีกอย่างคือกลุ่มควบคุม
‫หรือเรียกสั้นๆ ว่า Cgroups กลุ่มควบคุมส่วนใหญ่เกี่ยวกับการจำกัดการใช้ทรัพยากร
‫คุณสามารถบอกคอนเทนเนอร์ว่ามันสามารถเข้าถึง RAM ได้เพียง
‫1GB, CPU หนึ่งตัว, สิ่งของประเภทนั้น
‫นอกจากนี้ยังช่วยให้มีเมตริกบางตัวที่คุณสามารถวัดสิ่งต่างๆ
‫รอบตัวได้ แต่จริงๆ แล้วส่วนใหญ่เกี่ยวกับการจำกัดคอนเทนเนอร์ของคุณ
‫โปรดจำไว้ว่า
‫ตามค่าเริ่มต้น คอนเทนเนอร์ของคุณสามารถเข้าถึงทรัพยากรทั้งหมดได้ในแง่ของการที่สามารถกินพื้นที่ไฟล์ทั้งหมด
‫มันสามารถกิน CPU ทั้งหมด และสามารถกินหน่วยความจำทั้งหมดได้
‫นั่นเป็นเพียงคอนเทนเนอร์มาตรฐาน แต่คุณสามารถตั้งค่าตัวเลือกในการรันนักเทียบท่า
‫หรือใน Swarm หรือ Kubernetes
‫สิ่งเหล่านี้มีความสามารถสำหรับคุณในการควบคุมทรัพยากร
‫แต่มันไม่ใช่โดยปริยายใช่ไหม ตามค่าเริ่มต้น คอนเทนเนอร์ใดๆ
‫ก็ได้ทุกอย่าง
‫เมื่อคุณกำลังจะเข้าสู่ขั้นตอนการผลิต สิ่งที่คุณต้องทำคือสิ่งที่ต้องทำ
‫ฉันจะไม่พูดว่ากลุ่มควบคุมจำเป็นต้องมีคุณลักษณะด้านความปลอดภัย
‫ยกเว้นแอปพลิเคชันเฉพาะที่รับทุกสิ่งที่ไม่ควรทำ
‫และจากนั้นก็ทำให้สิ่งอื่น ๆ ไม่สามารถทำงานได้ใช่ไหม
‫นั่นไม่ใช่... ฉันไม่ได้มองว่าเป็นความปลอดภัยโดยตรง
‫ฉันมองว่าเป็นประเภทกึ่งที่เกี่ยวข้องกับความปลอดภัย ซึ่งมีคนสามารถปฏิเสธบริการในทางเทคนิคโดยปล่อยให้แอปของคุณกินทรัพยากรทั้งหมดบนเซิร์ฟเวอร์ของคุณ
‫คุณก็รู้ ของแบบนั้น
‫นั่นคือพื้นฐาน
‫เมื่อคุณเข้าใจพื้นฐานแล้ว มีบทความบล็อกที่ดีสองสามบทความเกี่ยวกับเครื่องมือรักษาความปลอดภัยประเภทต่างๆ
‫มีเครื่องมือมากมายใช่ไหม
‫ฉันจะไม่พูดถึงพวกเขาทั้งหมดในวันนี้
‫เห็นได้ชัดว่ามีสิ่งต่างๆ มากมาย แต่มีหลายอย่างที่ซับซ้อนและต้องทำโครงการ
‫คุณต้องติดตั้งใช้งาน หรือซื้อ จากนั้นจึงอุทิศเซิร์ฟเวอร์ให้กับพวกเขา
‫ผลิตภัณฑ์ขนาดใหญ่เกี่ยวกับการตรวจสอบ หรือทำให้แน่ใจว่าคุณผ่านข้อมูลประจำตัวบางอย่าง
‫เช่น ความปลอดภัยของบัตรเครดิต PCI หรือการรักษาความปลอดภัยตามกฎระเบียบของรัฐบาล