‫Que pensez-vous des images sans distractions?
‫Est-ce un bon compromis entre taille et sécurité?
‫Je dirais que si vous pouvez faire des images
‫sans distraction, et ce que nous entendons par là, le
‫terme est en mutation.
‫J'ai l'impression que les images sans
‫distractions sont compliquées. J'ai envie de simplement dire que les images à
‫gratter pourraient être un moyen plus facile de le dire. Mais, il est correct de dire
‫image sans distractions, ce qui signifie qu'il n'y a pas de système de paquet
‫de base. Il n'y a pas d'apt. Il n'y a pas Yum.
‫Vous ne supposeriez pas que toutes ces
‫commandes sont dans un conteneur si vous utilisez
‫l'une des images officielles. Le fait est que les images
‫sans distraction ne sont pas très courantes pour deux raisons.
‫Premièrement, la plupart des programmes
‫ont besoin de tout cela pour fonctionner.
‫Ils ont besoin de dépendances de paquets apt.
‫Ils ont besoin
‫de leurs propres bibliothèques SSL ouvertes. En plus du programme, ils ont besoin de
‫toutes sortes de choses.
‫C'est la plupart des applications aujourd'hui.
‫Golang, C, d’autres langues peuvent construire des fichiers binaires
‫uniques qui, en plus du noyau, ont tout
‫ce dont ils ont besoin
‫pour fonctionner. Ces choses sont techniquement
‫capables de supprimer tout ce qui se trouve en dessous.
‫Toutes les couches et votre image pourraient disparaître.
‫Je ne les vois pas encore beaucoup dans la nature
‫parce que je ne travaille pas avec Google, Netflix
‫et d’énormes équipes de personnes très professionnelles.
‫Les deux raisons sont que, premièrement, vous devez avoir
‫un langage qui le prend en charge, et vous devez avoir
‫une équipe qui comprend comment les construire correctement.
‫Ensuite, vous devez être vraiment doué pour le dépannage et le fonctionnement des
‫conteneurs dans les espaces de noms.
‫Parce que la minute où cette image distrait dans un conteneur
‫et que vous avez un problème, vous ne pouvez même
‫pas y toucher.
‫Il n'y a pas de coquille. Vous ne pouvez pas y entrer.
‫Vous ne pouvez pas le regarder. Alors, maintenant, vos outils
‫sont limités et vous devez commencer à rechercher d'autres moyens
‫de connecter vos outils à ces conteneurs.
‫Ça existe. Il y a des choses
‫qui vont le faire pour vous, mais cela dépend en grande partie de vos compétences
‫en termes de gestion des espaces de noms.
‫Comment pouvez-vous sauter en tant que sidecar dans un conteneur en
‫cours d'exécution dans son espace de noms à partir de la ligne de
‫commande sans utiliser Docker?
‫C’est le genre de problèmes qui se posent lorsque vous faites
‫face à un dépannage ou à la surveillance et à la
‫maintenance du système lorsque vous avez des images sans distraction.
‫Pour toutes les personnes avec qui je travaille et qui
‫commencent avec des conteneurs, leurs deux premiers projets
‫dans des conteneurs, je ne mentionne pas cela, car la taille est juste la taille.
‫Vous pouvez toujours ajouter plus d'espace disque sur un serveur, n'est-ce pas?
‫Aucune raison de faire courir à toute une équipe l'apprentissage
‫de toutes sortes de nouveaux outils et outils afin de réduire l'utilisation
‫de l'espace disque sur un serveur.
‫Personnellement, je ne me soucie pas de la taille.
‫La sécurité est une chose théorique.
‫En théorie, tous les éléments supprimés d'une
‫image de conteneur pourraient le rendre
‫plus sécurisé. Parlons de la nature, cependant.
‫Combien de fois quelqu'un a-t-il l'occasion de jouer
‫avec d'autres outils de votre conteneur en dehors
‫de votre application? Supposons que cURL comporte une vulnérabilité, mais
‫que votre application n'utilise pas cURL.
‫Il se trouve juste être dans l'image.
‫Comment quelqu'un va-t-il avoir accès à cela, non?
‫Ils vont devoir traverser votre application.
‫Donc, votre application doit avoir un exploit.
‫Ensuite, en théorie, ils pourraient exécuter la commande cURL dans
‫le conteneur, à droite. Donc, c’est
‫vraiment ce dont il s’agit, ce sont des bonus
‫de sécurité théoriques de ne pas inclure d’autres applications.
‫En réalité, une fois que vous avez créé
‫un fichier binaire statique, vous incluez déjà bon nombre de
‫ces bibliothèques qui pourraient être vulnérables, comme Open
‫SSL, qui est un moyen courant de connecter des applications avec la
‫sécurité SSL, non.
‫Eh bien, si cela comporte une vulnérabilité et que vous la construisez de manière
‫statique dans votre application, elle est toujours là.
‫Ce n'est tout simplement pas un fichier séparé sur le conteneur.
‫C'est dans votre application en un seul binaire.
‫En fait, cela rend plus difficile le scan
‫de sécurité car, à présent, tous les scanners que je
‫connais ne verront pas le binaire SSL ouvert
‫s’ils sont intégrés. Donc, beaucoup de ces choses sont théoriques.
‫Je n'ai pas tendance à pousser les équipes vers
‫des fonctionnalités de sécurité théoriques. Je regarde plutôt ce qui
‫se passe dans la nature, non?
‫Les démons Docker sont exposés.
‫Kubernetes ne dispose pas de l'authentification appropriée, il
‫est donc exposé. Ce sont les vrais
‫problèmes que je vois, vous savez, les sujets sur lesquels nous
‫nous focalisons continuellement dans les nouvelles avec lesquelles les
‫gens se font pirater, n'est-ce pas? Ce genre de choses avec la
‫sécurité théorique dans la suppression de fichiers à partir d'images.
‫C'est juste plus dans le domaine théorique.
‫Ce n'est pas une raison pour ne pas le faire.
‫Tout comme cette liste, tout ce que je ferais dans
‫cette liste, je le ferais avant de commencer dans
‫cette voie difficile.
‫Je considère les images sans distraction relativement difficiles.
‫Sauf si vous êtes déjà un programmeur Go et que
‫toute votre équipe est vraiment douée pour les espaces de
‫noms, les commandes Docker, etc.
‫Je ne parle pas seulement des commandes régulières de Docker.
‫Je veux dire des choses compliquées qui vous aident à dépanner des
‫conteneurs qui ne contiennent pas de coquilles, par exemple.
‫Donc, c'est une excellente question.
‫Cela revient tout le temps.
‫Tout le monde me pose la question quand nous avons des discussions sur la
‫sécurité car c'est un sujet populaire. Mais ce n'est même pas dans
‫mon top dix.
‫J'espère que ça aide.