‫Übrig bleibt Dmitri auf Ihrem Bildschirm.
‫Ich denke, dies ist Ihr erstes Mal in der Show richtig.
‫Ja.
‫Gut.
‫Dies ist das erste Mal auf.
‫Also danke, dass du mich hast.
‫Ja.
‫Und er ist gerade in Griechenland, aber normalerweise leitet er in Barcelona das dunklere Barcelona-Treffen.
‫Er ist der Gründer von Harbour Cloud Solutions und ich freue mich sehr, dass er in der Show
‫mit uns über rootless Docker spricht, was dieses Jahr brandneu ist. Wir werden darüber sprechen, warum das wichtig ist
‫und warum Sie es vielleicht wollen es prüfen.
‫Dimitri, was ist der Fahrstuhlplatz für jemanden, der Container kennt und weiß, wie man Docker jetzt
‫ausführt, warum sollten sie sich für wurzellose Docker interessieren.
‫Ja, also im Grunde.
‫Zuallererst, warum brauchen wir überhaupt Container?
‫Grundsätzlich möchten wir mit Containern die Anwendungen in ihrem
‫spezifischen Benutzerbereich isolieren, damit sie keine Aktionen außerhalb dieses Bereichs ausführen und isolieren können.
‫Und in diesem Zusammenhang.
‫Aber wenn jemand einmal in der Lage ist, Container zu betreiben, ist das, was wir normalerweise sagen, wenn Sie
‫Zugriff auf die Arzt-Steckdose haben, im Grunde genommen keine Anwendung des
‫Betriebssystems mehr.
‫Und im Grunde bedeutet dies, dass, wenn jemand auf den Arzt zugreifen kann, ich dann eine Route auf dem Betriebssystem auswählen kann
‫und wir das nicht wollen.
‫Sie möchten im Grunde, dass jemand in der Lage ist, isoliert zu denken und nicht in der Lage ist, solche
‫Dinge zu tun, und mit ihnen mit der Geschichte mit einer Fledermaus im Grunde mit der Wahrheit zu schreiben, was wir sagen können,
‫was wir können, ist das.
‫Tut mir leid.
‫Hängen.
‫Ja.
‫Ich hätte jetzt gerne ein schweres Einfrieren des Gehirns.
‫Nein, das ist okay.
‫Also ja im Grunde mit Rootkit ist das, was wir haben, die Fähigkeit, Container laufen zu lassen, aber nicht mit Toxizität,
‫die das Betriebssystem so jemand auf einigen Containern nicht kann, ohne unhöflich zu sein.
‫Wenn also jemand aus diesem Container ausbricht, kann er nicht auf das Betriebssystem zugreifen, sagen wir mal so.
‫Recht.
‫Im Grunde ist das Duplizieren einer Art X und einer weiteren Sicherheitsebene über den Containern.
‫Recht.
‫Das bedeutet, dass ich auch dann, wenn ich einen Docker-Container ausführen möchte, wenn ich im unbarmherzigen Modus ausgeführt
‫werde, keine Route benötige, sondern nur ein regulärer Benutzer sein kann.
‫Ja genau.
‫Wenn Sie also den Ruby nicht benötigen, um Docker auf
‫einem Computer installieren zu können, können Sie Dr. Oz als normaler Benutzer dieses bestimmten Computers, und Sie können Container
‫erstellen, als ob Sie eine Route wären, aber und einige Benutzer erstellen, einige Container.
‫Sie müssen jedoch nicht auf diesen speziellen Computer zugreifen.
‫Ja.
‫Grundsätzlich gibt es also zwei Arten von Vorteilen in zwei verschiedenen Regionen. Jane, zwei verschiedene Arten von Benutzern. Nehmen wir an, es gibt
‫Benutzer, die Entwickler haben. Vielleicht teilen sie sich nicht die Route, die auf den spezifischen Computer zugreift,
‫an dem sie arbeiten, und jetzt mit den Charakteren Sie können den Arzt installieren, ohne Zugang zu
‫Routen zu gewähren, und sie können dies verwenden, um Container in ihrer eigenen Umgebung aufzustellen. Die andere Möglichkeit ist, wenn
‫Sie ein Bediener sind, oder wenn Sie dies verwenden, wenn Sie zum Beispiel eine
‫Klasse dort haben dass Sie in Ihrem eigenen Cluster arbeiten möchten und nicht mit einem Arzt im Routenmodus Container fahren, sondern
‫es in einer benutzerlangen Sache für einen bestimmten Benutzer verwenden möchten, so dass selbst dann, wenn jemand davon
‫abbricht bestimmten Container können Sie dann nicht auf die Route zu diesem bestimmten Computer zugreifen.
‫Sie haben also im Grunde genommen eine.
‫Und noch eine Schicht Sicherheitskontakt speziell aus der Szene rechts.
‫Und im Grunde ist das die Idee und du sagst, du solltest irgendeine Art von Einschränkungen haben.
‫Aber das werden wir auf der Demo sehen.
‫Grundsätzlich können Sie jedoch alles tun, was Sie normalerweise mit Containern tun können.
‫Ja, gut, lass uns gehen.
‫Lass es uns machen, lass uns zu ein paar Demos kommen.
‫Ich denke manchmal ist es toll über etwas zu reden, aber es ist auch cool zu sehen.
‫Gehen wir dort zur Demo.
‫OKAY.
‫Im Grunde haben wir hier also ein Raumschiff geschaffen.
‫Mein Computer ist ein Mac, also kann ich dort arbeiten.
‫Also der Doktor in meinem Max rücksichtslos, weil wir im Grunde einen Linux-Kernel haben wollen.
‫Was ich verwende, ist, dass ich eine virtuelle Vagrant-Box verwende, um virtuelle Maschinen und virtuelle Boxen zur Laufzeit
‫einer virtuellen Maschine auszuführen, und welche Art ist das?
‫Grundsätzlich ein Anbieter für den alle Maschinen in meiner In-Vitro-Box sind.
‫Und das ist im Grunde meine Konfiguration.
‫Ich habe zwei bestimmte Maschinen, die ich erstelle.
‫Einer ist ein skrupelloser, der zwei der Sanyo-Version 64 und der andere im Grunde vier geboren ist.
‫Also, was wir wollen, ist, dass ich eine Installation im rücksichtslosen Modus für unterwegs mache.
‫Grundsätzlich mache ich eine normale Installation von Docker und ich rasiere sie bereits und
‫es gibt Tätowierungen.
‫Sie werden sehen, dass diese Maschinen einmal ausgeführt
‫werden.
‫Okay, auf dem Touchscreen melde ich mich bei einer skrupellosen Maschine an und auf dem unteren Bildschirm sage ich,
‫dass es zu spät ist, zu wenig.
‫Ich mag es reumütig. Ja, ich weiß nicht, ob es so geschrieben ist, aber das klingt.
‫Wir haben uns nur ein neues Wort ausgedacht, das nichts war, sondern etwas ist.
‫OKAY.
‫Also, wie werden wir hier den rücksichtslosen Modus installieren?
‫Also werde ich dir nur zeigen, was die Befehle dafür sind.
‫Und dann habe ich ein Skript, das hier eingerichtet ist, was im Grunde genommen das einzige
‫ist, was ich brauche, um das Betriebssystem der Born to send Young 64-Version vorzubereiten. Ich
‫möchte die IP-Tabellen im Schrank aktivieren.
‫Ich möchte, dass ich Docker mit diesem Befehl installieren möchte.
‫Grundsätzlich ist dies ein Skript, das sagt: Ja, lasst uns skrupellos anrufen.
‫Und normalerweise sollten Sie solche und ähnliche Skripte aus dem Internet nicht akzeptieren.
‫Aber lassen Sie uns sagen, dass wir das Publikum in Okay kennen würden, es ist.
‫Wir haben mindestens SSL für Docker, die Sie sind, also müsste es jemanden erfordern, der dies
‫ausnutzt.
‫Aber man kann es immer runterziehen.
‫Genau.
‫Sie können es nicht nach unten ziehen.
‫Wenn du isst und es dann richtig ausführst.
‫Ja.
‫Also habe ich schon beim Start ausgeführt, so dass es im Grunde weiß, dass ich es bereits installiert habe.
‫Wenn Sie sich jedoch auf der ersten Maschine befinden, sollte dies ausreichen,
‫um den unbarmherzigen Modus zu installieren. Ihr Kozmo erstellt seinen Dienst im System D, das im Grunde genommen in Ihrem Home-Verzeichnis ausgeführt
‫wird.
‫Sie sehen also, dass dies der andere Dienst in meinem privaten Hintergrund ist, der mein Benutzername und auf diesem
‫Computer ist. Dort befindet sich auch das System, auf dem der Dienst installiert ist.
‫Und wenn Sie zum Beispiel die Binärdatei sehen, verwenden Sie diese, wobei der Hintergrund im experimentellen Modus der skrupellose ist
‫und diese Begriffe, die ich überlagert habe, und sobald ich diese installiert habe, wenn es mir gefällt, wird es nichts tun, weil
‫ich nicht zeige, dass ich ein Gerät habe beim scheiß drauf bin ich dort noch
‫nie auf etwas gestoßen, weil meine buchse sich gerade in diesem benutzerraum im falschen benutzer befindet tausend docker buchse.
‫Also muss ich diese Docker-Hosts exportieren und hatte jetzt die größeren Piers, dann
‫können Sie sehen, dass ich sie verwenden kann. Kann ich ein Ticket bekommen, wenn ich mich um
‫die Welt kümmere? Container und dort erscheint zum Beispiel und haben nichts.
‫Und hier können Sie sehen, dass die Container, die bereits in der vollständigen Umgebung ausgeführt werden, hier dasselbe
‫tun.
‫Und um es zu installieren, sind sie im Grunde genommen der Befehl, und es ist der get Docker. Dann lädst du das Skript herunter, führst
‫es aus und sobald du es ausführst, hast du alles, aber ich habe es bereits installiert,
‫also gehe ich einfach um es jetzt zu stoppen.
‫Und sobald Sie es installiert haben, können Sie sehen, dass ein Arzt läuft.
‫Lassen Sie uns nun sehen, was der Unterschied zwischen diesen beiden Umgebungen ist.
‫Wenn ich ein B. mache S. Hier und spreche über die Sorgfalt, die du sehen wirst,
‫dass mein Arzt auf US-Route läuft und es läuft in diesen stattdessen mit diesem Befehl und hier, wenn ich für einen Arzt sagte, wirst
‫du sehen, dass es einige andere Befehle gibt, die, weil es brutalistisches Kit verwendet, und wenn Sie sehen alle
‫diese Befehle im Benutzerhintergrund ausgeführt.
‫Es gibt also keine Verkehrsteilnehmer, die irgendetwas laufen lassen.
‫Und das ist im Grunde der größte Unterschied zwischen diesen beiden. Versuchen wir also, auf beiden Computern, auf
‫denen Sie sich befinden, dieselben Befehle auszuführen.
‫Hallo Welt.
‫Sie werden sehen, dass dies dasselbe ist, und wir werden einige andere Dinge sehen, an denen wir arbeiten können.
‫Zunächst möchte ich jemanden sagen.
‫Ein weiterer Unterschied: Wenn Sie gerade hier für meine Szene unterwegs
‫sind, können Sie sehen, dass Dr. Pierce rennt direkt, aber das liegt daran,
‫dass Sie das sehen können, wenn wir die Gruppen nehmen.
‫Ich habe die Ärztegruppe hier.
‫Und wenn ich gehe und mich anmelde, weil ich denke, dass es hier noch einen anderen Knochen gibt, und wenn ich das mache,
‫können Europäer mit der Steckdose nichts anfangen.
‫Und das liegt daran, dass ich nicht zur Ärztegruppe gehöre.
‫Das ist also einer der Unterschiede, dass Sie, wenn Sie zur Arztgruppe gehören, im Grunde genommen Zugang
‫zur Arztsteckdose haben.
‫Und wenn Sie nicht zu der Gruppe gehören, müssen Sie im Grunde eine Show machen, um das zu tun.
‫Ja.
‫Und dies ist eine Möglichkeit, auf den Socket in der zornigen Maschine zuzugreifen, und eine andere und andere Möglichkeit, die
‫Gruppe zu verwenden.
‫Und der große Unterschied hier bei den Skrupellosen ist, dass Sie keine von beiden brauchen.
‫Sie müssen nicht über eine Art Socket verfügen, die einem anderen Benutzer gehört.
‫Sie haben einfach alles und in Ihrem eigenen User Space ausgeführt.
‫OK, sehen wir uns einige andere Befehle an, zum Beispiel die beiden waren Augen.
‫Dinge, die im Raum voll laufen.
‫Wenn wir das klare Overlay viral aufgenommen haben, werden unsere Overlays in der Bearbeitung für die Umgebung ausgeführt. Wenn wir jedoch
‫hier das Gleiche überprüfen, werden Sie feststellen, dass sie dort nichts haben.
‫Und das liegt daran, dass alles in unserem eigenen Benutzerbereich läuft.
‫Und ich kann diese Dinge in diesem Verzeichnis finden, das der örtliche Sir Doctor ist.
‫Und dann können Sie hier die Überlagerung sehen, die auftritt, und Sie können sehen, dass sich diese innerhalb desselben Benutzerpatienten
‫befinden.
‫Mein eigener Benutzer.
‫Also zu unserer Verteidigung, dass wir zum Beispiel finden können, dass verwenden.
‫Lassen Sie uns jetzt etwas ausführen.
‫Sie legt ein Brett frei.
‫Ich lasse einen Motor X laufen, und ich lasse ihn laufen und lege ihn im 32768-Hafen frei
‫und bin dann in die gleiche Scheiße gegangen.
‫Also ja, das ist so etwas in Ordnung.
‫Also, wenn ich es nicht weiß.
‫Okay.
‫Ich bin mir sicher, dass Sie die Enden in X sehen können und dasselbe passiert hier.
‫Okay.
‫Bis jetzt ist es dasselbe.
‫Aber wenn wir gehen und wir versuchen, dies zu tun, lassen Sie uns diesen einen
‫stoppen und aufgrund der in den 80ern gekauften Belichtung können Sie sehen, dass ich nicht über die Tausend berichten
‫kann, weil ich das Benutzerland meine.
‫Kein Recht, zumindest, weil der einzige Routennutzer über die richtige Nummer und in seiner gesamten Umgebung verfügen kann.
‫Sie können sehen, dass dies möglich ist.
‫Genau wie einige Schriftsteller.
‫Ja, das ist keine Einschränkung.
‫Ja genau.
‫Das liegt daran, dass Sie als normaler Benutzer ein solches Portal nicht betreten können. Ich meine, es ist unmöglich,
‫mehr oder weniger darüber hinwegzugehen.
‫Das sind die Unterschiede.
‫Und ich habe keine Demos mehr dafür.
‫Ich weiß, wenn Sie möchten, können wir mit einigen Fragen oder Diskussionen etwas mehr über die unterschiedlichen Wege zu diesem
‫Modus anfangen.
‫Ja, ich.
‫Es gibt ein paar Fragen.
‫Einer von ihnen handelt davon, dass Rootless den dunkleren Sockel nicht gemeinsam nutzen kann, und ich habe
‫eine Antwort gegeben, die Sie möglicherweise erweitern möchten Es
‫ist nicht anders. Du bist L im Dateisystem. Es ist ein anderer Pfad.
‫Technisch gesehen könnten Sie also beide gleichzeitig ausführen.
‫Das nehme ich an.
‫Ich weiß nicht warum, aber Sie könnten es, wenn Sie Docker nicht hätten, wenn Sie keinen Root-Zugriff oder
‫keinen Docker-Gruppenzugriff hätten und Docker auf einem Computer ausführen wollten, auf dem Docker
‫bereits vorhanden war Sie meine ich alle Dateien und alles rund um die verschiedenen Pfade.
‫Recht.
‫Also ich meine, auch wenn du einen ehrlichen Modus hast, ist es mir egal.
‫Im viralen Verzeichnis läuft dann normalerweise das für alle Benutzer aber wenn du es in deinem eigenen Userland
‫ausführst dann im Grunde nur ein einziger Benutzer.
‫Recht.
‫Sie sollten also wahrscheinlich sagen können, dass das in Ordnung ist.
‫Wenn Sie anderen Benutzern Zugriff gewähren, ist dies normalerweise jedoch nicht der Fall.
‫Ja Ja.
‫Eine andere Frage dazu
‫ist, dass ich Mounts und Volumes nur mit Dateien verwenden kann, für die mein Benutzer die Berechtigung hat.
‫Und ja, das ist wahr, denn alles hier hängt von Ihrem Benutzerkonto ab.
‫Recht.
‫Es ist also nur für dich.
‫Ja.
‫Ja genau.
‫Grundsätzlich kann Ihr Benutzer also genau das tun, was Ihre Container können.
‫Und ich meine jetzt, technisch könntest du dich mögen.
‫Du meinst, du könntest technisch gesehen jemand sein, der eine Route hat, und
‫du entscheidest dich nur dafür, diese in deinem Benutzerkonto auszuführen. Da der Docker-Dämon in diesem Fall unter
‫deinem Benutzerkonto ausgeführt wird, hat er nur Zugriff und Berechtigungen auf die Dinge dort .
‫Ja.
‫Ja genau.
‫Sehen Sie was noch.
‫Marcus von gestern Margo's Nase ist auf dem Anruf.
‫Er ist einfach.
‫Er hat viele Fragen.
‫Wie wäre es mit.
‫Funktioniert es.
‫Gute Frage.
‫Mm hmm mm hmm.
‫Es sollte funktionieren, ich habe es nicht getestet.
‫Ja.
‫Also, was ist, wenn Sie nur versuchen, im Dunkeln zu schwärmen.
‫Ja Liebe.
‫Ja, lass uns das sehen.
‫Und dann führen Sie vielleicht einen Dienst aus, der erstellt wird, wenn Sie wissen, dass wir vermieten werden. Wir
‫werden zufällige Demos erstellen. Es heißt also, dass es sich um einen Manager handelt. Vielleicht verursacht der Dienst Empörung und Eier oder etwas, das auf Port 80 80
‫ausgeführt wird, oder so.
‫Ich meine, theoretisch würde ich denken, dass es funktionieren würde, denn solange Sie
‫nicht versuchen, auf Ports zu veröffentlichen, könnte eine Sache interessant sein: Ermöglicht es der virtuellen die Weste, die sie erstellt.
‫Kann es.
‫Oh, das ist ein guter Punkt, weil
‫Docker Tuckers rootless Docker keinen Zugriff auf die Erstellung virtueller Schnittstellen hat.
‫Ich verstehe nicht warum nicht.
‫Ich versuche zu denken, ich sollte keine neue Rendite schaffen können.
‫Ja.
‫Also, was passiert, wenn Sie eine Liste der Netzwerke dort wie ein Netzwerk oder weniger auf
‫dem Tanz tun.
‫Ja, es hat sie.
‫Vielleicht kann ich den Host-Modus nicht verwenden oder etwas, worüber ich noch etwas gelesen
‫habe.
‫In der Vernetzung gab es etwas, das ohne root nicht möglich war, weil das den
‫Hals grundlegend veränderte.
‫Ja, ich erinnere mich, dass ich ein Host-Netzwerk verwendet habe.
‫Ja, ich erinnere mich, dass ich etwas davon gehört habe.
‫Ja.
‫Was Sie wahrscheinlich nicht tun können, ist zum Beispiel, dass aufgrund der Beschränkung von weniger als tausend gekauften, Sie wahrscheinlich keinen Proxy
‫haben können, der läuft und einen Ausgleich zwischen Ihren eigenen Diensten vornimmt, so dass Sie
‫im Grunde keinen Port auf dem Boden machen können, der nein ist bedeutet oder Modell entweder.
‫Ja, ich weiß es nicht.
‫Finger brauchen so etwas.
‫Marcus fragt nach Dämonenlisten, so wie es uns möglich ist.
‫Ja, aber das ist eine andere Sache.
‫Ich meine, das ist kein Dämon, es sei denn, das ist skrupellos und der Unterschied ist im Grunde dieser Dämon.
‫Du solltest dahinter keinen Dämon brauchen und es ist uns egal.
‫Wir teilen nichts mit anderen.
‫Ich denke, wir könnten etwas mit dem Container und dem Vielleicht anfangen.
‫Recht.
‫Ja.
‫Ja, das ist wahr.
‫Ich denke, das wäre im Grunde genommen so.
‫Ich kann sehen, wie schwierig das wäre, weil die verbündete Demokratie nur mit Ihnen spricht.
‫Ja.
‫Grundsätzlich ist eine Ente oder soll ich sagen, dass die Art und Weise, wie sie im Design endet, der Client-Server ist.
‫Also ja, wir haben eine Demo.
‫Es wäre fast so, als wäre ihr Vorsprung da, müsste ein SIEGEL sein, das ich hinzufüge, dass im
‫Hintergrund gerade wirklich ein Hafenarbeiter läuft.
‫Der Docker D-Prozess, der jedoch technisch gesehen nicht als Dämon ausgeführt wird und nur das
‫Herzstück des Docker-Laufs darstellt.
‫Und ja, weil du das nicht richtig machen konntest.
‫Du müsstest es tun.
‫Okay.
‫Ja, das wäre ein interessanter Anwendungsfall für Sie, zum Beispiel.
‫Also Einweihung.
‫Grundsätzlich möchten Sie Container erstellen können.
‫Das Problem ist jedoch, dass Sie, wenn Sie VCA freigeben, auch irgendetwas Container schreiben möchten.
‫Dann braucht man grundsätzlich Container im Container und das macht es dann komplizierter.
‫Eine Möglichkeit zum Überschreiben besteht darin, dass Sie Container neben Containern ausführen können.
‫Setzen Sie Ihren Hund also grundsätzlich aus, damit Sie in Ihren Container gelangen und mehr Container hineinziehen können.
‫Aber im selben Deck und Motor und das andere, was Sie tun können, ist, dass Sie die Akte im Inneren des
‫Arztes einsehen.
‫Grundsätzlich können Sie einen Dämon in Ihrem CIC mit dem Container und dem anderen teilen.
‫Grundsätzlich ist dieser Unterschlupf, um mehr von der Einschränkung zu beseitigen, dass der Arzt die Freigaben initiiert
‫hat, weil Sie früher Privilegien mehr ausliefern mussten und wenn Sie Benutzer lange verwenden, ist dieser
‫Personen-Mod möglicherweise nicht notwendig, um Scheiße in Ihrem eigenen Container zu machen.
‫Aber auch das schön getestet zu haben.
‫Ja.
‫Und wenn Sie weniger hätten verlangen können, würde das viel vereinfachen.
‫Euro pro Stadt, um keinen Dämon zu teilen, dringen nicht in dein Hormonsystem ein.
‫Viele weitere Fragen.
‫Ich glaube nicht, dass das eine Frage ist, ob Binärdateien oder Anwendungen in einem Container überprüft werden sollen oder ob sie
‫einwandfrei funktionieren oder nicht.
‫Alle Docker-Funktionen dort.
‫Nein, diesbezüglich gibt es keine neuen Funktionen, und diese beziehen sich eher nicht auf Dämonenlisten
‫oder rootless Docker.
‫Es gibt wirklich Dockers bereits alle Funktionen, die Sie wirklich benötigen, um Binärdateien oder Anwendungen
‫auf einwandfreie Funktion zu prüfen.
‫Sie haben Docker-Protokolle. Sie haben Docker-Ereignisse. Sie haben die Docker-Dämon-Protokolle.
‫Vielleicht möchten Sie meinen YouTube-Kanal nachsehen, weil wir letzte Woche darüber gesprochen haben.
‫Wir haben tatsächlich eine Sysadmin-Show, in der wir uns über die verschiedenen Ebenen der Protokollierung und
‫Ereignisse sowie die Überwachung von Inhalten in Docker unterhalten haben.
‫Das ist Brett Fisher, dot com slash YouTube, und suchen Sie dort nach sysadmin, und Sie können
‫diese Frage finden, die allerdings eine gute Frage war.
‫Was aus sicherheitstechnischer Sicht.
‫Was ist der Unterschied zwischen der Verwendung von Containern ohne
‫Rootberechtigung und Benutzernamensräumen, je nachdem, wie Sie Ihre Benutzernamensräume erstellen, wenn Sie Rootberechtigung
‫benötigen, um sie zu erstellen?
‫Aber die Frage ist nicht, wo Sie sie ausführen, sondern wie Sie sie erstellen.
‫Und im Grunde handelt es sich um skrupellose Modelle, bei denen Sie Ihre Benutzernamensräume
‫unterhalb Ihres eigenen Benutzernamensraums erstellen. Ja, ich denke, technisch ist es lustig, je nachdem, wie technisch Sie gesüßte rootless Container
‫und Benutzernamensräume für Benutzernamensräume halten möchten Wovon ich ein großer Fan bin, aber dass das
‫wurzellose Zeug stimmt.
‫Das wird es sein.
‫Das bedeutet mehr, dass sich nur Dinge in meinem Benutzer befinden und die Benutzernamenräume bedeuten, dass die Docker-Dämonen immer noch root ausführen. Dies bedeutet, dass
‫ich root-Zugriff haben muss. Ich muss einen Run-Docker erstellen, da root ich mindestens in
‫der Docker-Gruppe sein muss Zugriff darauf zu bekommen und dann die Leerzeichen für den Benutzernamen zu verwenden,
‫bedeutet, dass der Benutzer, der im Container läuft, und der Container selbst nicht unter dem Root-Prozess laufen, aber wenn es
‫so etwas wie einen Zero-Day-Bug und diesen Hund oder Dämon gab, der es Ihnen erlaubte, irgendwie zu hüpfen aus dem
‫Container in den Dämon hinein, dann helfen dir vielleicht die Leerzeichen für den Benutzernamen nicht weiter.
‫Vielleicht weiß ich nicht, ob es sich um eine Sicherheitsmaßnahme handelt.
‫Ich denke, Sie könnten hier sitzen und den ganzen Tag darüber diskutieren.
‫Welcher ist besser.
‫Ich würde sagen, es geht eher um die Anwendungsfälle, als wenn es eher darum geht, wie ich es
‫nicht tue. Ich möchte nicht einmal, dass etwas unhöflich ist.
‫Die eine Sache, die wir übrigens für Dr. Ich hoffe, dass wir eines Tages
‫einen Dämon haben, in dem Sie Ente oder Dämon ausführen und dann Benutzername-Leerzeichen ausführen können. Das bedeutet im Grunde, dass
‫jeder Container als Nicht-Root-Benutzer ausgeführt wird, aber im Moment sind sie nicht anders
‫Benutzer.
‫Daher ist jeder Container, der in Benutzernamensräumen ausgeführt wird, dasselbe Benutzerkonto, und es wäre
‫aus Sicherheitsgründen sehr cool, wenn wir davon ausgehen würden, dass jeder
‫einzelne Container, den Sie starten, ein anderer Benutzer ist Ich bekomme es nicht in einen anderen
‫Behälter.
‫Yeah yeah, das war meiner Meinung nach ein Problem, da die Funktion
‫für den Benutzernamenraum größtenteils von einem anderen Doktorhauptmann und Phil Estes geschrieben wurde, die in der Serie darüber
‫gesprochen haben user in user name spaces user pro container sache
‫die sie nennen wie user name spaces 2. 0 und WI und er waren so, als ob ich nicht wüsste, ob
‫irgendjemand dieses Feature bauen möchte und es wäre ein cooles Feature, aber ich denke,
‫es funktioniert noch nicht.
‫Oh, also sagt Marcus, dass Swarm das Laden von Kernel-Modulen erwirbt und normalerweise Routen
‫hinzufügt, sodass Sie Overlay nicht verwenden können.
‫Vielleicht das virtuelle Ding hier.
‫Ja ich denke Overlaying funktioniert im 1.
‫Es gibt Angriffspläne, von denen sie denken, dass sie davon träumen, aber von ihren ausfallenden Systemen.
‫Biker fragen, ob ich in einem wurzellosen Container existiere.
‫Gibt es ein Passwort, um auf route oder pseudo de route zuzugreifen, oder
‫ist route komplett nicht verfügbar? Ich denke, die Routen im Container sind im Grunde genommen ein Benutzer des Kurses eines Dämons, aber ich finde
‫das großartig.
‫Ja.
‫Also ja.
‫Das ist es.
‫Ich mag diese Antwort.
‫Das ist ja
‫Wenn Sie sich im Container befinden und der Root-Benutzer im Container sind, haben Sie immer
‫noch nicht mehr Berechtigungen als das, was dem Docker-Dämon auf dem Host ausgeht, der Ihr Benutzerkonto ist.
‫Also in den Container könntest du.
‫Ich meine, technisch könnte man Route in einem Container oder Passwort angeben.
‫Sie könnten Budgetbenutzer in den Container aufnehmen, aber auf dem Host-Dateisystem würden sie keine anderen Wörter kennen, da
‫dies eine Eskalation und Privilegien darstellt, die über das hinausgehen, was Sie richtig machen dürfen.
‫Also vielen Dank Dmitri.
‫Das ist wirklich cooles Zeug, von dem ich nicht wusste, dass es mit dem Skript so einfach zu installieren ist,
‫da der ursprüngliche Beitrag, den das Docker-Team veröffentlicht hat, ein wenig entmutigend war, weil ich es
‫mag.
‫Dies ist eine Stunde meiner Zeit, um es zu installieren, aber jetzt, da ich ein Installationsskript habe, wie Sie es
‫für reguläre Docker haben, geht es ja, es geht großartig.