‫画面に残っているのはドミトリーです｡
‫今回が初出演ですよね｡
‫そうですね｡
‫わかりました｡
‫オンでは初めてです｡
‫では､ お招きいただきありがとうございました｡
‫そうですね｡
‫彼は今ギリシャにいますが､ 実は普段はバルセロナで「ダーク・バルセロナ・ミートアップ」を運営しています｡
‫Harbor cloud solutionsの創設者である彼が､
‫ルートレスDockerについて話してくれるのを､ 私はとても楽しみにしています｡
‫ディミトリ コンテナを知っていて､ Dockerの動かし方も知っている人が､ なぜルートレスDockerに注目するのか､
‫そのエレベーターピッチは何ですか｡
‫ええ､ だから基本的には｡
‫まず､ そもそもなぜ容器が必要なのでしょうか｡
‫基本的にコンテナでやりたいことは､ アプリケーションを特定のユーザー空間の中に隔離して､
‫その空間の外では何もできないようにし､ 隔離することです｡
‫そして､ その中で
‫でも､ コンテナを動かせるようになると､ ドクターズソケットにアクセスできれば､ 基本的にOSのアプリケーションから外れるということが分かっています｡
‫そして､ 基本的にこれは､ もし誰かがドクターにアクセスできれば､ 私はオペレーティングシステム上でルートを選択することができ､ 我々はそれを望んでいないことを意味します｡
‫基本的に孤立した思考を持つことができる人､ こういうことができない人に､
‫バットを持って物語を書き､ 基本的に真実を書くこと､ それが私たちができることだと言えるでしょう｡
‫申し訳ありません｡
‫吊るす｡
‫そうですね｡
‫今すぐにでも激しい脳震盪を起こしたい｡
‫いや......いいんです｡
‫ルートキットは基本的に､ コンテナを実行するための機能ですが､ オペレーティングシステムの毒性はないので､
‫誰かが失礼にならないようにコンテナを実行することができます｡
‫ですから､ もし誰かがそのコンテナから抜け出したら､ その人はOSにアクセスすることはできません｡
‫そうですね｡
‫基本的には､ ある種のXと､ コンテナの上にもう一つセキュリティのレイヤーを複製することです｡
‫そうですね｡
‫ということは､ もし私がdockerコンテナを実行したい場合､ ruthlessモードで実行していれば､
‫ルートも必要なく､ 通常のユーザーでいられるということです｡
‫ええ､ その通りです｡
‫つまり､ Dockerをインストールするためにrubyが必要ない場合は､
‫Dr.Dockerを使用することができます｡ そのマシンの通常のユーザーとしてOzを使用し､ あたかも自分がルートであるかのようにコンテナを作成し､
‫いくつかのユーザーをいくつかのコンテナに作成することができます｡
‫しかし､ その特定のマシンにアクセスする必要はない｡
‫そうですね｡
‫もう一つは､ 例えばクラスタ内でドクターを使ってコンテナを動かすのではなく､
‫特定のユーザーに対してドクターをインストールし､ 特定のコンテナから誰かが抜け出しても､
‫そのマシンへのルートにアクセスできないようにしたい場合です｡
‫基本的に持っているわけですね｡
‫そして､ 右のシーンから特別にもう一枚､ セキュリティコンタクトを｡
‫そして､ 基本的にはそういう考えで､ 何らかの制限を設けるべきと言うことですね｡
‫でも､ それはデモで確認することになります｡
‫しかし､ 基本的にはコンテナで普通にできることは何でもできます｡
‫そうだな......行こうか｡
‫さあ......デモをやろう｡
‫話すのもいいけど､ 見るのもカッコイイってこともあると思うんです｡
‫そこでデモに臨みましょう｡
‫OKです｡
‫つまり､ 基本的には宇宙船を作ったということですね｡
‫私のマシンはMacなので､ そこそこできる｡
‫というのも､ 基本的にLinuxカーネルを搭載したいので､ 私のMAXでは先生は冷酷な方でした｡
‫そして､ 私が使っているのは､ 仮想マシンと仮想マシンのランタイムを実行するために､ vagrantとvirtual boxを使っているのですが､
‫それはどのようなものなのでしょうか｡
‫基本的には､ 私のインビトロボックスにあるすべてのマシンが対象となるプロバイダーです｡
‫そして､ これが基本的に私の構成です｡
‫具体的に作っているマシンは2つあります｡
‫一つは三洋電機バージョン64の二つが生まれた非情で､ もう一つは基本的に四つです｡
‫だから､ これらの非情が欲しいのは､ 私はのための道路で非情モードのインストールを行うつもりです｡
‫基本的にDockerの通常のインストールをするのですが､ すでに起動しているものを削り､
‫タトゥーがあります｡
‫これらのマシンが一度起動していることがわかると思います｡
‫さて､ それではタッチスクリーンでは無慈悲なマシンにログインし､ 下の画面ではtoo little
‫too lateと言うことにします｡
‫私はrueful Yeahが好きです......そんな風に書かれているかどうかわかりませんが､ それは音です｡
‫Ruefulという新しい言葉を作りましたが､ それは今までのものではありません｡
‫OKです｡
‫では､ ここにどうやって非情モードをインストールするのか｡
‫そこで､ そのためのコマンドを紹介します｡
‫そして､ このスクリプトは､ 基本的には､ オペレーティングシステムを準備するために必要なもので､
‫64バージョンを送信するために生まれたのは､ キャビネット内のIPテーブルを有効にしたいです｡
‫基本的には､ これらのコマンドでDockerをインストールしたいのです｡
‫基本的にこれは､ そうだ､ 無慈悲を呼ぼうという脚本なんです｡
‫そして､ 通常､ インターネットからのスクリプトのようなものを受け入れてはいけないのです｡
‫しかし､ 我々はそれがオーケーで観客を知ることになるとしましょう｡
‫我々は､ 少なくともドッカーズにSSLオーバーしているあなたはエルだから､ それを利用するために誰かを必要とする必要があります｡
‫でも､ いつもいつも引き下げることができます｡
‫その通りです｡
‫引き下げることはできません｡
‫食べてからちゃんと実行すれば｡
‫そうですね｡
‫だから､ 私はすでに前にスタートで実行したので､ 基本的に私がすでにインストールしたことを知っているのです｡
‫しかし､ あなたが最初のマシンにいる場合､ これは無慈悲なモードをインストールするために十分であるべきで､
‫彼らのKozmoが行うことは､ 基本的にあなたのホームディレクトリ内で実行されるシステムDに彼らのサービスを作成することである｡
‫これは､ 私のユーザー名であるホームバックグラウンドにある他のサービスであり､
‫そのマシンにはサービスがインストールされています｡
‫そして､ あなたがバイナリを見た場合､ 例えば､ これらの背景は実験モードで非情であることと､ 私がオーバーレイされたこれらの用語と､
‫一度私が好きなら､ 私はそれが何もしない表示されますこれらをインストールしている[REMOVED]にデバイスを持って表示しないので､
‫私は今私のソケットが間違ったユーザーでこのユーザー空間の中にあるので､ そこに何かに遭遇しない千Dockerソケットを使用｡
‫だから私はこれらのDockerホストをエクスポートする必要があり､ 今私は大きなピアを持っていたその後､
‫私は私が世界のために気にしない場合､ 私はチケットを得ることができることを使用できることがわかります今私はコンテナの中にものを実行することができ､
‫そこに例えば現れ､ 何も持っていないことを見ることができます｡
‫そして､ すでにフル環境で動作しているコンテナも､ ここで同じことを行っているのがわかります｡
‫インストールするためのコマンドは基本的にこれとget Dockerで､ スクリプトをダウンロードして実行し､
‫実行すればすべて揃いますが､ 私はすでにインストールしているので､
‫今は止めておきます｡
‫そして､ それをインストールすると､ 医師が動いているのがわかります｡
‫では､ この2つの環境は何が違うのかを見ていきましょう｡
‫Bをしたら｡ S. ここでケアについて話すと､ 私の医師はUSルートを実行しており､
‫これらのコマンドで代わりに実行していることがわかります｡ ここで私が医師のために言った場合､ あなたはそれがbulteristキットを使用しているので､
‫いくつかの他のコマンドがあることがわかります｡
‫だから､ 道路使用者が何かを実行しているわけではありません｡
‫この2つの最大の違いは､ 基本的にこの点です｡ それでは､ 両方のマシンで同じコマンドを実行してみましょう｡
‫ハローワールド
‫これで同じものを走らせているのがわかると思いますので､ 他にもいろいろと見てみましょう｡
‫まず最初に､ ある人に言いたいことがあります｡
‫もう一つ違うのは､ もしあなたが今､ この私のシーンのために道路にいるとしたら､
‫博士がいるのがわかるでしょう｡ ピアスは直接走っていますが､ これはグループをとっていればわかるからです｡
‫ここに医師団がいるんです｡
‫そして､ 私はここに使用する別の骨があると思うので､ 私が行くとログインし､ 私はそのヨーロッパ人は､ ソケットで何もすることはできません｡
‫そして､ これは私が医師団に属していないからです｡
‫これは､ ドクターグループに所属していると､ 基本的にドクターソケットにアクセスできることが違いのひとつです｡
‫そして､ グループに所属していない場合は､ 基本的に番組をやらないとそのようにはならない｡
‫はい｡
‫そして､ これは怒りのマシンのソケットにアクセスする一つの方法であり､ 別の､ そして他のグループの使用方法です｡
‫そして､ ここでの非情に大きな違いは､ そのどちらも必要ないということです｡
‫他のユーザーのものである何らかのソケットに､ 持っていてそうする必要はないのです｡
‫自分のユーザースペースで全部走らせただけや｡
‫では､ 他のコマンドも見てみましょう｡ 例えば､ 「2つの目」です｡
‫室内をフル稼働しているもの｡
‫このオーバーレイは､ 環境用の編集の中で実行されているものです｡
‫そして､ すべてが自分たちのユーザースペースで動いているからです｡
‫そして､ これらのことは､ 地元のサー・ドクターであるこのディレクトリで見つけることができます｡
‫そして､ ここではオーバーレイが発生し､ これらが同じユーザー患者の中にあることがわかります｡
‫自分のユーザー
‫だから､ 私たちの防衛のために､ 例えばそれを使うことを見つけることができる｡
‫今､ 何かを走らせよう｡
‫彼女はボードを晒している｡
‫だから､ エンジンXを走らせて､ 32,760.8ポートで露出させて､
‫同じように--｡
‫そうそう......こんな感じですね｡
‫だから､ もし私が知らなかったら｡
‫なるほど｡
‫今､ Xで端が見えると思いますが､ ここでも同じことが起こります｡
‫なるほど｡
‫今までは同じです｡
‫しかし､ もし私たちが行って､ これを止めようという露出ポートがあり､ 80年代に買った露出のために､
‫私はユーザーの土地を意味するので､ 私はそこに千のレポートを公開することはできませんが､ それを見ることができます｡
‫少なくとも､ ユーザーが正しい番号で､ その完全な環境で公開できる唯一のルートであるため､ 権利はありません｡
‫可能であることがおわかりいただけると思います｡
‫どこかの作家のようにね｡
‫そう､ それは制限のないことです｡
‫ええ､ その通りです｡
‫つまり､ 通常のユーザーであれば､ あのようなポータルに入ることはできませんし､ 超えることも不可能です｡
‫それが違いです｡
‫それに､ もうデモがないんですよ｡
‫もしご希望であれば､ このモードへのさまざまなルートについて､ もう少し質問や議論をすることができると思います｡
‫ええ､ そうです｡
‫いくつか疑問があるのは確かです｡
‫そのうちの一つは､ 例えばルートレスでは暗黒のソケットを共有できないというもので､
‫私はこれを拡大解釈したいのかもしれません｡
‫だから､ 技術的には､ この2つを同時に実行することも可能だと思うんです｡
‫そうですね｡
‫なぜそうなるのかわかりませんが､ Dockerを持っていない人が､ ルートアクセスやDockerグループアクセスを持っていない人が､
‫すでにDockerを持っているマシンでDockerを動かそうとした場合､ そのマシンにあるすべてのファイルや異なるパスの周りのものを意味すると思われます｡
‫そうですね｡
‫だから､ たとえ発言真実モードがあっても気にしないってことです｡
‫ウイルスディレクトリで実行する場合､ 通常はすべてのユーザーが対象ですが､ 自分のユーザーランドで実行する場合は､
‫基本的に1ユーザーだけとなります｡
‫そうですね｡
‫だから､ あなたはおそらく､ それでいいと言えるはずです｡
‫一部の他のユーザーにアクセスを許可した場合ですが､ 通常はそのようなことはありません｡
‫そうそう｡
‫もう一つの疑問は､ マウントとボリュームは､
‫私のユーザーが許可しているファイルだけに使用できるのか､ ということです｡
‫そして､ その通りです｡ なぜなら､ ここにあるすべてのものは､ あなたのユーザーアカウントにスコープされているからです｡
‫そうですね｡
‫だから､ それは自分のためだけなのです｡
‫そうですね｡
‫ええ､ その通りです｡
‫つまり､ 基本的にユーザーができることは､ 基本的にコンテナができることなのです｡
‫そして､ 今､ 技術的にはあなたのようになることができたということです｡
‫つまり､ 技術的にはルートを持っている人が､ 自分のユーザーアカウントでこれを実行することもできますが､
‫この場合､ Docker デーモンは自分のユーザーアカウントで実行されるので､ そこにあるものに対してのみアクセス権とパーミッションが与えられることになります｡
‫そうですね｡
‫ええ､ その通りです｡
‫他を見る｡
‫昨日のマーゴの鼻のマーカスは通話中です｡
‫彼はやさしい｡
‫彼は多くの疑問を持っています｡
‫どうでしょう｡
‫それはうまくいくのか｡
‫いい質問ですね｡
‫うーん､ うーん､ うーん｡
‫動作確認はしていませんが､ 動作可能なはずです｡
‫そうですね｡
‫だから､ ただ闇雲にその中に吸い寄せられるように入ってみたらどうでしょう｡
‫ええ､ 愛です｡
‫ええ､ 見てみましょう｡
‫それから､ たとえばレンタルでランダムなデモを作るので､ ポート80 80で実行されるoutrage
‫and eggsなどのサービスを作成するマネージャーだと言って､ サービス作成を実行することもできます｡
‫理論的には､ ポートでパブリッシュしようとしない限り､ うまくいくと思うのですが､
‫ひとつ興味深いのは､ バーチャルベストを作成できるようになるかどうかです｡
‫できるのか｡
‫Docker Tuckerのルートレスでは､
‫仮想インターフェイスを作成するためのアクセス権がないんですね｡
‫なぜダメなのか､ わからない｡
‫新しいリターンを作っちゃいけないと思うようにしているんです｡
‫そうですね｡
‫そこで､ ダンスにあるネットワークやネットワーク・レスのようなネットワークのリストを作るとどうなるか｡
‫ええ､ ありますよ｡
‫つまり､ もしかしたら､ ホストモードが使えないとか､ 何かで読んだ覚えがあるのかもしれません｡
‫ネットワークには､ 基本的にネックを変えてしまうので､ ルートでないとできないことがありました｡
‫そういえば､ ホストネットワークを使っていましたね｡
‫ええ､ 私にもそんなことを聞いた覚えがあります｡
‫そうですね｡
‫あなたはおそらくできないことは､ この千未満の購入の制限のために､ 例えば､ あなたはおそらくできませんプロキシを実行し､
‫その下に独自のサービス間のバランスをやっているので､ あなたは手段やモデルもない地面に基本的にポートを公開することはできません｡
‫ああ......どうだろう
‫指先にはそういうものが必要です｡
‫マーカスは､ 悪魔のリストについても､ 可能かどうか聞いています｡
‫ええ､ でもそれは別の話です｡
‫つまり､ これは冷酷でなければ悪魔ではなく､ 基本的には悪魔という違いがあるのです｡
‫その背後にある悪魔は必要ないはずで､ 私たちは気にしていません｡
‫誰とも共有しない｡
‫コンテナや､ もしかしたらで何かできるかもしれないと思っています｡
‫そうですね｡
‫ええ､ その通りです｡
‫つまり､ 根本的にはそうなんでしょうけど｡
‫民主主義の同盟国が話をするだけだから､ ちょっと厄介なのはわかる｡
‫そうですね｡
‫基本的にアヒルというか､ デザインで終わっているのは､ クライアントサーバーということです｡
‫そうそう､ デモがあるんですよ｡
‫シールズが必要だ」と言われるようなもので､ バックグラウンドでドッカーを動かしているだけなんです｡
‫Docker Dのプロセスですが､ 厳密にはデーモンとして実行されているわけではなく､ Docker Runの中心に走っているに過ぎません｡
‫そうそう､ D Dの周りではそんなことできないから｡
‫やるしかないでしょう｡
‫なるほど｡
‫ああ､ それは面白いユースケースになりそうですね｡
‫だからイニシエーション｡
‫基本的には､ コンテナを作成できるようにしたいのです｡
‫しかし､ 問題は､ あなたが共有VCAはあなたが同様に任意のコンテナを書きたいことを行う必要がある場合ということです｡
‫そうすると､ 基本的にはコンテナの中にコンテナが必要で､ そうすると､ もっと複雑になります｡
‫それを上書きする方法として､ 基本的にはコンテナと並行してコンテナを行うことができます｡
‫だから､ 基本的に犬をさらすので､ 容器の中に入って､ さらに容器を中に引き込むことができます｡
‫しかし､ 同じデッキとエンジンで､ もうひとつは､ ドクターの中のドッケに乗ることです｡
‫ですから､ 基本的にはCICの中にある悪魔をコンテナともう1つ共有することができるのです｡
‫基本的にこの避難所は､ 以前にあなたが特権を出荷する必要があるため､ 医師が株式を開始した制限の多くを排除するために､
‫あなたがユーザー長い多分これらの人々のmodを使用している場合は､ 行うために必要ではありません
‫- あなた自身のコンテナ内｡
‫しかし､ その素敵などちらかをテストしたこと｡
‫そうですね｡
‫そして､ もし需要を少なくすることができれば､ それはとてもシンプルになります｡
‫ユーロは悪魔を共有しないために都市はあなたの内分泌系の中に取得しないでください｡
‫もっとたくさん質問してください｡
‫コンテナ内のバイナリやアプリケーションをチェックしたり､ 完璧に動作するかどうかという質問は､ 実はそこにはないと思うのです｡
‫そこにDockerの機能があれば｡
‫いやそれに関連する新機能はないし､ それはむしろ悪魔のリストやルートレスDockerとは関係ない｡
‫バイナリやアプリケーションが完璧に動作しているかどうかをチェックするために本当に必要な機能は､ すでにDockersがすべて備えているのです｡
‫Dockerのログがあり､ Dockerのイベントがあり､ Dockerのデーモンのログがあります｡
‫先週の話なので､ 私のYouTubeチャンネルで確認するといいかもしれませんね｡
‫Dockerのロギングやイベント､ モニタリングについて､ さまざまなレベルで説明したシスアドの番組がありますので､
‫ご覧ください｡
‫Brett Fisher dot com slash YouTubeで､ sysadminと検索すれば､
‫その質問を見つけることができますよ｡
‫セキュリティの観点からはどうでしょう｡
‫ルートレスコンテナとユーザーネームスペースの違いは､ ユーザーネームスペースをどのように作成するのか､
‫もし作成するためにルートアクセスが必要なら､ 基本的に非情なことはできません｡
‫しかし､ 問題はどこに走らせるかではなく､ どのように作るかです｡
‫そして基本的には､ 自分のユーザ・ネームスペースの下に自分のユーザ・ネームスペースを作るという非情なモデルです｡
‫それはそうだろう｡
‫ユーザー名スペースは､ Dockerのデーモンがまだrootで動いていることを意味し､
‫root権限を持っていなければなりません｡
‫セキュリティの観点で知らないのかもしれません｡
‫ここで一日中､ 議論していてもいいと思うんです｡
‫どっちがいいんだろう｡
‫もし､ これが「私は何も持ちたくない」「失礼かもしれないが何も持ちたくない」というようなことであれば､
‫もっと正しいユースケースについて言えると思います｡
‫ちなみにルートレスユーザー名スペースにないのは､ Dr. demonはまだですが､ いつか実現したいと思っています｡
‫duckやdemonを実行してからユーザー名空間を実行すると､ 根本的な意味は､ すべてのコンテナが非ルートユーザーとして実行されるということです｡
‫ユーザー名空間で実行されるすべてのコンテナは同じユーザーアカウントです｡ もし､ 起動するすべてのコンテナが異なるユーザーであれば､
‫誰かがコンテナやエクスプロイトを持っていても､ それを別のコンテナに格納することができないので､
‫セキュリティ面で非常に優れていると言えます｡
‫ユーザーネーム・スペースの機能は､ 主に別のドクター・キャプテンが書いたもので､
‫昨年､ 番組に出演していたフィル・エスティスがユーザーネーム・スペースについて話していました｡
‫0とWIで､
‫その機能を作りたい人がいるかどうか分からないので､ クールな機能になると思うのですが､ まだうまくいっていないようです｡
‫なるほど､ MarcusはSwarmがカーネルモジュールを取得してルートを追加するため､ overlayが使えないと言っているのですね！overlayはカーネルモジュールを必要とするので､
‫制限の1つだと思います｡
‫多分､ ここの仮想シンジは
‫うん......1ではオーバーレイが効いてると思うんだ｡
‫彼らは夢のようなことを考えていると思いますが､ 失敗しているシステムの約攻撃があります｡
‫根無し草の容器に存在するかどうか尋ねるバイカーたち｡
‫ルートにアクセスするパスワードがあるのか､ 擬似デルートなのか､ ルートは全く使えないのか
‫コンテナ内のルートは基本的にa魔のコースのユーザーだと思うのですが､ それはそれですごいと思うんですよね｡
‫そうですね｡
‫そうそう｡
‫それだけです｡
‫その答えがいいんです｡
‫そうなんです｡
‫コンテナの中にいて､ コンテナ内のルートユーザーであれば､ ホスト上で実行されているドッカーデーモンの権限（ユーザーアカウント）以上の権限を持つことはありません｡
‫だから､ 容器の中では､ あなたはできる｡
‫つまり､ 技術的にはコンテナやパスワードでルートを与えることができるのです｡
‫コンテナ内に予算ユーザーを作ることはできますが､ ホストファイルシステム上では､ 他の言葉を使うことはできません｡
‫なぜなら､ それは､ あなたが許可されている範囲を超えた特権をエスカレートすることになるからです｡
‫それでは､ ドミトリさん､ 本当にありがとうございました｡
‫docker チームが出したオリジナルの投稿は､ 私が好きなので見るのが少し大変でしたが､ 今ではスクリプトであんなに簡単にインストールできるとは本当にクールなものです｡
‫インストールに1時間かかってしまいましたが､ 通常のDockerのようなインストールスクリプトがあれば､
‫簡単にインストールできます｡