‫Điều đầu tiên về cơ bản là đọc một số.
‫Giống như phần trên cùng này là xoay quanh việc cung cấp cho bạn kiến thức cơ
‫bản về những gì ... Docker hoạt
‫động như thế nào? Bảo mật cơ bản trong Docker là gì?
‫Bạn biết đấy, làm cách nào để Docker bảo vệ vùng
‫chứa của bạn? Đại loại vậy.
‫Về cơ bản, tôi có một bài nói chuyện về sản xuất mà bạn có thể
‫xem tại đây. Chúng tôi sẽ không xem nó bây giờ.
‫Tôi có một liên kết ở đây đến hướng dẫn bảo mật Docker.
‫Bây giờ, điều thú vị về hướng dẫn bảo mật Docker ở đây
‫là nó thực sự
‫chỉ về cách hoạt động của bảo mật Docker?
‫Hoặc, bản thân Docker hoạt động như thế nào?
‫Có cách tốt hơn video trong khóa học của tôi.
‫Tôi đặt các liên kết ở đó đến các video tham khảo khác dài cả
‫tiếng đồng hồ về nền tảng của Docker.
‫Hai điều chính bạn cần quan tâm là vùng tên
‫kernel và nhóm C.
‫Không gian tên, họ xem xét tổng quan
‫tốt đẹp về cách hoạt động của công cụ này.
‫Tóm tắt ở đây là có hai tính
‫năng chính trong Linux cho phép Docker thậm chí có thể
‫thực hiện được. Không gian tên của hạt nhân
‫là một cách để hạt nhân nhận một ứng dụng hoặc
‫một tập hợp các ứng dụng và không gian tên chúng.
‫Không gian tên về cơ bản là giới hạn chế
‫độ xem của họ, quyền truy cập của họ vào bất kỳ
‫tài nguyên nào hoặc những gì họ nhìn thấy, cho dù đó là
‫mạng, các chương trình khác trong bộ nhớ hay các tệp trên đĩa, nó giới hạn phạm
‫vi đó cho mỗi chương trình.
‫Vì vậy, nó có thể dành cho từng chương trình riêng lẻ và chúng ta
‫biết chúng như những vùng chứa. Vì không gian tên
‫không dành riêng cho Docker. Nó đã tồn tại lâu hơn rất
‫nhiều so với Docker. Nó thực sự đã xuất hiện
‫như một khái niệm trong các bản phân phối Unix khác nhau trong hơn một thập kỷ.
‫Chúng ta có thể đã nghe thấy điều này trong Solaris Jails hoặc các
‫loại công nghệ khác về cơ bản khiến
‫bạn nghĩ rằng bạn đang ở trên máy
‫chủ của chính mình, nhưng thực sự, bạn đang ở
‫trong một máy chủ với nhiều người khác và nhiều ứng
‫dụng khác, đúng không. Chúng tôi đã làm điều đó rất nhiều trong
‫Linux và các nền tảng lưu trữ.
‫Không gian tên là tính năng đó. Nó cung cấp cho thùng
‫chứa của bạn NIC của riêng nó. Đó là một NIC ảo chỉ dành cho vùng chứa đó.
‫Nó cung cấp cho nó không gian tệp
‫riêng nơi nó không nhìn thấy phần còn lại của hệ
‫thống tệp sau và nó không cho phép nó thấy các chương trình khác
‫đang chạy bên ngoài vùng chứa đó. Vì vậy, đó là về quyền truy cập và xem của nó, phải không.
‫Đó là không gian tên.
‫Điều đó chỉ hoạt động ngoài hộp.
‫Đó là cách Docker làm cho một vùng chứa chạy mà không thấy mọi
‫thứ khác trên hệ thống.
‫Điều quan trọng khác là các nhóm kiểm soát, hay
‫chúng tôi gọi tắt là Nhóm. Các nhóm kiểm soát
‫chủ yếu là giới hạn việc sử dụng tài nguyên.
‫Bạn có thể nói với một vùng chứa nó chỉ có quyền truy
‫cập vào 1GB RAM, một CPU, đại loại như vậy.
‫Nó cũng cho phép một số chỉ số mà bạn có thể đo lường
‫mọi thứ xung quanh thứ đó, nhưng nó thực sự chủ
‫yếu là giới hạn vùng chứa của bạn. Hãy nhớ rằng các vùng chứa của bạn,
‫theo mặc định, có thể có quyền truy cập vào tất cả các tài nguyên trong điều kiện chúng
‫có thể ăn hết dung lượng tệp, chúng có thể chiếm tất
‫cả các CPU và chúng có thể ăn hết bộ nhớ.
‫Đó chỉ là một vùng chứa tiêu chuẩn, nhưng bạn có
‫thể đặt các tùy chọn trong docker run, hoặc trong
‫Swarm hoặc Kubernetes. Bất kỳ thứ nào trong số đó đều có khả
‫năng để bạn kiểm soát tài nguyên.
‫Nhưng, nó không phải theo mặc định, đúng. Theo mặc định, bất kỳ vùng chứa nào
‫cũng nhận được mọi thứ.
‫Khi bạn đi vào sản xuất, đây chắc chắn nằm trong danh sách
‫việc cần làm của bạn. Tôi sẽ không nói
‫rằng nhóm kiểm soát nhất thiết phải là một tính năng bảo mật ngoại
‫trừ một ứng dụng cụ thể chiếm mọi thứ mà nó
‫không nên, và sau đó nó làm cho những
‫thứ khác không thể chạy, đúng không.
‫Đó không phải là ... Tôi không coi đó là bảo mật trực tiếp.
‫Tôi coi điều đó như một phần nào đó liên quan đến bảo mật,
‫nơi ai đó về mặt kỹ thuật có thể thực hiện từ chối dịch vụ
‫bằng cách cho phép ứng dụng của bạn ăn hết tài
‫nguyên trên máy chủ của bạn. Vì vậy, bạn biết đấy, loại điều đó.
‫Đó là những điều cơ bản.
‫Sau khi bạn hiểu những điều cơ bản, có
‫một vài bài viết trên blog về các loại công cụ bảo
‫mật khác nhau ở đây. Có rất nhiều công cụ,
‫phải không. Tôi sẽ không đề cập đến tất cả chúng hôm nay.
‫Rõ ràng, có rất nhiều thứ ngoài kia, nhưng rất
‫nhiều thứ phức tạp và tốn nhiều dự án.
‫Bạn phải triển khai chúng, hoặc mua chúng, và sau đó dành máy chủ
‫cho chúng, đúng không.
‫Những sản phẩm lớn xoay quanh việc kiểm tra hoặc đảm bảo bạn vượt qua
‫một số thông tin xác thực nhất định như bảo mật
‫thẻ tín dụng PCI hoặc bảo mật theo quy định của
‫chính phủ, những loại nội dung đó.