‫Pozostał na ekranie Dmitri.
‫Myślę, że to twój pierwszy raz w serialu.
‫Tak.
‫W porządku.
‫To pierwszy raz.
‫Dziękuję za zaproszenie.
‫Tak.
‫I jest teraz w Grecji, ale tak naprawdę jest w Barcelonie, prowadząc ciemniejsze spotkanie w Barcelonie.
‫Jest założycielem rozwiązań chmurowych w Harbour i jestem bardzo podekscytowany jego występem, ponieważ będzie rozmawiać z nami
‫o bezrootowym Dockerze, który w tym roku jest zupełnie nową rzeczą, a my porozmawiamy o tym, dlaczego jest to
‫ważne i dlaczego możesz chcieć żeby to sprawdzić.
‫Dimitri, jaka jest wysokość windy dla kogoś, kto zna kontenery i wie, jak uruchomić
‫Docker teraz, dlaczego miałby obchodzić się bez rootowania Dockera.
‫Tak, w zasadzie.
‫Przede wszystkim po co nam pojemniki.
‫Zasadniczo to, co chcemy robić z kontenerami, polega na tym, że chcemy
‫izolować aplikacje w obrębie ich konkretnej przestrzeni użytkownika, aby nie mogły wykonywać czynności poza tą przestrzenią i izolować je.
‫I w tym kontekście.
‫Ale kiedy ktoś raz będzie mógł uruchomić kontenery, wiemy, że jeśli normalnie to, co mówimy, jeśli masz
‫dostęp do gniazda lekarzy, to po prostu nie masz zastosowania
‫systemu operacyjnego.
‫Zasadniczo oznacza to, że jeśli ktoś może uzyskać dostęp do lekarza, to mogę wybrać trasę w systemie operacyjnym
‫i nie chcemy tego.
‫Zasadniczo chcesz, aby ktoś mógł mieć izolowane myśli i nie był w stanie robić tego
‫rodzaju rzeczy i pisać z nim historią nietoperzem, w zasadzie z prawdą, co możemy powiedzieć, że jesteśmy w
‫stanie to zrobić.
‫Przepraszam.
‫Powiesić.
‫Tak.
‫Chciałbym teraz poważnego zamrożenia mózgu.
‫Nie, w porządku.
‫Więc tak w zasadzie z rootkitem jest to, że mamy zdolność do uruchamiania kontenerów, ale nie z toksycznością,
‫że system operacyjny, więc ktoś nie może na niektórych kontenerach nie być niegrzeczny.
‫Więc jeśli ktoś wyrwie się z tego kontenera, to nie będzie mógł uzyskać dostępu do systemu operacyjnego, powiedzmy tak.
‫Dobrze.
‫Zasadniczo powielasz jakiś X i kolejną warstwę zabezpieczeń na pojemnikach.
‫Dobrze.
‫Oznacza to, że także jeśli chcę uruchomić kontener dokerów, jeśli pracuję w trybie bezwzględnym, oznacza to, że
‫nawet nie potrzebuję trasy, mogę po prostu być zwykłym użytkownikiem.
‫Tak, dokładnie.
‫Więc w zasadzie, jeśli nie potrzebujesz rubinu, aby móc zainstalować
‫Docker na jakiejś maszynie i możesz użyć Dr. Oz jako zwykły użytkownik tej konkretnej maszyny i możesz
‫tworzyć kontenery tak, jakbyś był trasą, a niektórym użytkownikom tworzyć niektóre kontenery.
‫Ale nie musisz uzyskiwać dostępu do tej konkretnej maszyny.
‫Tak.
‫Zasadniczo istnieją więc dwa rodzaje korzyści w dwóch różnych regionach. Jane dwóch różnych typów użytkowników, powiedzmy, że są użytkownicy,
‫którzy są programistami, może nie dzielą trasy dostępu do tego konkretnego komputera, nad którym pracują,
‫a teraz z postaciami mogą zainstalować lekarza bez udzielania dostępu do trasy i mogą go
‫użyć, aby umieścić pojemniki we własnym środowisku, a drugi to jeśli jesteś operatorem lub jeśli go używasz,
‫jeśli masz tam klasę, na przykład że chcesz w pewnym sensie we
‫własnym klastrze i nie idziesz do uruchamiania kontenerów przy użyciu lekarza w trybie trasy, ale chcesz, aby był
‫to długi użytkownik u konkretnego użytkownika, tak że nawet jeśli ktoś się z tego wyłamie
‫konkretnego kontenera, wówczas nie można uzyskać dostępu do trasy do tego konkretnego komputera.
‫Więc masz w zasadzie.
‫I jeszcze jedna warstwa kontaktu bezpieczeństwa specjalnie ze sceny.
‫Zasadniczo taki jest pomysł i mówisz, że powinieneś mieć jakieś ograniczenia.
‫Ale zobaczymy to na demie.
‫Ale w zasadzie możesz zrobić to, co normalnie możesz zrobić z pojemnikami.
‫No cóż, chodźmy.
‫Zróbmy to, przejdźmy do niektórych demonstracji.
‫Myślę, że czasem wspaniale jest rozmawiać o czymś, ale fajnie też to zobaczyć.
‫Przejdźmy do wersji demo.
‫DOBRZE.
‫Więc w zasadzie mamy tutaj statek kosmiczny.
‫Moja maszyna to komputer Mac, więc mogę się tam dostać.
‫Więc lekarz jest bezwzględny w moim maksimum, ponieważ w zasadzie chcemy mieć na nim jądro Linuksa.
‫I dlatego używam włóczęgi i wirtualnego urządzenia w celu uruchomienia maszyn wirtualnych i wirtualnych urządzeń w
‫środowisku wykonawczym maszyny wirtualnej i jaki to rodzaj.
‫Zasadniczo dostawca, dla którego wszystkie maszyny są w moim pudełku in vitro.
‫I to w zasadzie moja konfiguracja.
‫Mam dwie określone maszyny, które tworzę.
‫Jeden jest bezwzględny, który rodzi się dwa z Sanyo w wersji 64, a drugi w zasadzie cztery.
‫Więc chcemy, żeby ci bezwzględni zrobili instalację w trybie bezwzględnym na drodze.
‫Zasadniczo zamierzam wykonać normalną instalację Dockera i ogolić je już uruchomione
‫i są tatuaże.
‫Zobaczysz, że te maszyny działają
‫raz.
‫Okej, więc na ekranie dotykowym zaloguję się do bezwzględnej maszyny, a na dolnym ekranie powiem, że
‫jest za mało za późno.
‫Lubię smutne Tak, nie wiem, czy jest tak napisane, ale to brzmi.
‫Właśnie wymyśliliśmy nowe słowo smutne, które nie było rzeczą, teraz jest rzeczą.
‫DOBRZE.
‫Jak więc tutaj zainstalować tryb bezwzględny.
‫Więc pokażę wam, jakie są do tego polecenia.
‫A potem mam skrypt, który jest tutaj skonfigurowany, a właściwie to, czego właściwie
‫potrzebuję, aby przygotować system operacyjny. Urodzony, aby wysłać młodą wersję 64, to chcę
‫aktywować tabele IP w szafce.
‫Chcę mieć to, a właściwie to, co chcę zrobić, to zainstalować Docker za pomocą tych poleceń.
‫Zasadniczo jest to skrypt, który powiedział: tak, nazwijmy się bezwzględnymi.
‫Zwykle nie należy akceptować skryptów z Internetu w ten sposób.
‫Ale powiedzmy, że znamy publiczność w porządku.
‫Mamy przynajmniej certyfikat SSL w stosunku do dokerów, którymi jesteś, więc musiałoby to wymagać od kogoś skorzystania z
‫tego.
‫Ale zawsze możesz to ściągnąć.
‫Dokładnie.
‫Nie możesz tego ściągnąć.
‫Jeśli jesz, a następnie wykonaj to poprawnie.
‫Tak.
‫Więc już wcześniej go uruchomiłem, więc w zasadzie wie, że już go zainstalowałem.
‫Ale jeśli jesteś na pierwszej maszynie, powinno to wystarczyć do zainstalowania
‫trybu bezwzględnego, a to, co robi ich Kozmo, to utworzenie ich usługi w Systemie D, który zasadniczo działa w twoim katalogu
‫domowym.
‫Widzicie więc, że jest to inna usługa w moim tle domowym, czyli moja nazwa użytkownika i na
‫tym komputerze, i tam jest system, w którym usługa jest zainstalowana.
‫A jeśli zobaczysz na przykład, że pliki binarne używają ich, tło jest bezlitosne w trybie
‫eksperymentalnym, a te warunki, które nałożyłem, i kiedy je zainstaluję, jeśli mi się podobają, nic nie
‫zrobi, ponieważ nie pokazuję urządzenia do cholery, nigdy tam nie natrafiłem,
‫ponieważ moje gniazdo jest teraz w tej przestrzeni użytkownika w niewłaściwym użytkowniku tysiąc gniazda Docker.
‫Muszę więc wyeksportować tych hostów Dockerów, a teraz miałem większe Piers, więc możesz zobaczyć, że
‫mogę użyć tego, czy mogę dostać bilet, jeśli zależy mi na świecie, na przykład możesz zobaczyć, że teraz mogę
‫uruchamiać rzeczy wewnątrz pojemnik i pojawia się na przykład i nie ma niczego.
‫I zobacz tutaj, możesz zobaczyć, że kontenery, które już działają w pełnym środowisku, robią to samo
‫tutaj.
‫A w celu instalacji są to w zasadzie polecenie i to jest polecenie Docker, a następnie pobierasz skrypt, wykonujesz
‫go, a kiedy go wykonujesz i masz wszystko, ale mam już zainstalowany,
‫więc po prostu idę zatrzymać to teraz.
‫A kiedy już go zainstalujesz, możesz zobaczyć, że lekarz biegnie.
‫Zobaczmy teraz, jaka jest różnica między tymi dwoma środowiskami.
‫Jeśli zrobię B. S. tutaj i mów o opiece, którą zobaczysz, że
‫mój lekarz biegnie amerykańską trasą i uruchamia się za pomocą tych poleceń, a tutaj, jeśli powiedziałem lekarzowi, zobaczysz,
‫że istnieją inne polecenia, ponieważ używa zestawu brutalizmu i jeśli wszystkie te polecenia działają
‫w tle użytkownika.
‫Więc żaden użytkownik drogi nic nie prowadzi.
‫I to jest w zasadzie największa różnica między tymi dwoma, więc spróbujmy uruchomić te same polecenia
‫na obu komputerach, na których jesteś.
‫Witaj świecie.
‫Zobaczysz, że działa to to samo i zobaczmy kilka innych rzeczy, na które możemy biegać.
‫Przede wszystkim chciałbym coś powiedzieć.
‫Jeszcze jedna różnica: jeśli jesteś teraz w drodze na moją
‫scenę tutaj, możesz zobaczyć, że Dr. Pierce działa bezpośrednio, ale dzieje się
‫tak, ponieważ jeśli bierzemy grupy, możesz to zobaczyć.
‫Mam tu grupę lekarzy.
‫A jeśli pójdę i zaloguję się, myślę, że jest tu inna kość, a jeśli to zrobię Europejczycy, nie będę
‫mógł nic zrobić z gniazdem.
‫A to dlatego, że nie należę do grupy lekarzy.
‫Jest to jedna z różnic, że jeśli należysz do grupy lekarzy, to w zasadzie masz dostęp
‫do gniazda lekarza.
‫A jeśli nie należysz do grupy, w zasadzie musisz zrobić show, aby to zrobić.
‫Tak.
‫Jest to jeden ze sposobów uzyskania dostępu do gniazda w gniewnej maszynie oraz inny i inne sposoby korzystania
‫z grupy.
‫A duża różnica w bezwzględnym polega na tym, że nie potrzebujesz obu z nich.
‫Nie musisz go mieć, więc zrób to z jakimś gniazdem, które należy do innego użytkownika.
‫Właśnie uruchomiłeś to we własnej przestrzeni użytkownika wszystko i.
‫OK, więc zobaczmy kilka innych poleceń, na przykład dwa były oczami.
‫Rzeczy, które biegną w pokoju pełne.
‫Jeśli weźmiemy do wirusowego przezroczystą nakładkę, to tutaj nasze nakładki są uruchamiane w edycji dla środowiska, ale jeśli
‫sprawdzimy to samo tutaj, zobaczysz, że nic tam nie ma.
‫A to dlatego, że wszystko działa w naszej własnej przestrzeni użytkownika.
‫I mogę znaleźć te rzeczy w tym katalogu, który jest lokalnym Sir Doctor.
‫I tutaj możesz zobaczyć nakładkę, która się pojawia, i możesz zobaczyć, że są one w tym samym pacjencie
‫użytkownika.
‫Mój własny użytkownik.
‫Więc w naszej obronie, którą możemy znaleźć, użyj na przykład tego.
‫Uruchommy teraz coś.
‫Odsłania tablicę.
‫Więc używam silnika X, uruchamiam go i ujawniam w porcie trzydzieści dwa tysiące siedemset sześćdziesiąt osiem,
‫a potem poszedłem w to samo gówno.
‫Więc tak, to coś takiego.
‫Więc jeśli nie wiem.
‫W porządku.
‫Teraz jestem pewien, że widzisz końce w X i to samo dzieje się tutaj.
‫W porządku.
‫Do tej pory było tak samo.
‫Ale jeśli pójdziemy i spróbujemy to zrobić, port ekspozycyjny zatrzymajmy ten, a ze
‫względu na ekspozycję kupioną w latach 80. widać to, ponieważ ponieważ mam na myśli ziemię użytkowników, nie
‫mogę wystawić raportu o tysiącach.
‫Nie ma prawa, przynajmniej dlatego, że jedyny użytkownik trasy może wyświetlać odpowiednią liczbę w swoim pełnym otoczeniu.
‫Widać, że jest to możliwe.
‫Podobnie jak niektórzy pisarze.
‫Tak, to nie ma ograniczeń.
‫Tak, dokładnie.
‫Jest tak, ponieważ jako zwykły użytkownik nie możesz wchodzić na tego rodzaju portal. Mam na myśli, że nie można
‫przejść więcej i mniej więcej.
‫To są różnice.
‫I nie mam już na to żadnych wersji demonstracyjnych.
‫Wiem, jeśli chcesz, możemy zrobić z niektórymi pytaniami lub dyskusją nieco więcej na temat innej drogi do
‫tego trybu.
‫Tak ja.
‫Są pewne pytania.
‫Jedna z nich dotyczy tego, że rootless nie może na przykład dzielić ciemniejszego gniazda, więc dałem ci coś, co możesz
‫chcieć rozwinąć. Odpowiedziałem, mówiąc: Cóż, to różne gniazda ciemniejszego demona, który
‫jest w trybie rootowania nie jest inaczej, że jesteś L w systemie plików, to inna ścieżka.
‫Sądzę więc, że technicznie możesz uruchomić oba z nich jednocześnie.
‫Tak przypuszczam.
‫Nie wiem, dlaczego to zrobiłeś, ale mógłbyś, gdybyś był czymś, co nie miałoby Dockera, gdybyś nie miał dostępu do
‫roota lub dostępu do grupy Docker i chciałbyś uruchomić Docker na maszynie, która
‫już miała Docker i chyba mam na myśli wszystkie pliki i wszystko wokół różnych ścieżek.
‫Dobrze.
‫Mam na myśli, że nawet jeśli masz tryb prawdy, nie obchodzi mnie to.
‫Uruchamianie w katalogu wirusowym, to normalnie jest to dla wszystkich użytkowników, ale jeśli uruchamiasz go na swojej
‫własnej ziemi, to w zasadzie tylko jeden użytkownik.
‫Dobrze.
‫Więc prawdopodobnie powinieneś być w stanie powiedzieć, że jest w porządku.
‫Jeśli dajesz dostęp innym użytkownikom, ale zwykle tak nie jest.
‫Tak tak.
‫Innym pytaniem jest to,
‫że mogę używać montowań i woluminów tylko z plikami mojego użytkownika, który ma na to pozwolenie.
‫I tak, to prawda, ponieważ wszystko tutaj jest ograniczone do twojego konta użytkownika.
‫Dobrze.
‫Więc to jest tylko dla ciebie.
‫Tak.
‫Tak, dokładnie.
‫Więc w zasadzie to, co użytkownik może zrobić, w zasadzie to, co mogą zrobić twoje pojemniki tak.
‫I mam na myśli, że teraz technicznie mógłbyś lubić siebie.
‫Ponieważ masz na myśli, że technicznie możesz być kimś, kto ma trasę, a
‫ty po prostu zdecydujesz się uruchomić to na swoim koncie użytkownika, ale ponieważ demon dokera w tym
‫przypadku działa pod Twoim kontem użytkownika, będzie miał dostęp i uprawnienia do rzeczy tam .
‫Tak.
‫Tak, dokładnie.
‫Zobacz co jeszcze.
‫Marcus z wczorajszego nosa Margo dzwoni.
‫On jest łatwy.
‫Ma wiele pytań.
‫Co powiesz na.
‫Czy to działa.
‫Dobre pytanie.
‫Mm hmm mm hmm.
‫Powinien być w stanie pracować, nie testowałem tego.
‫Tak.
‫A co, jeśli spróbujesz po prostu zasysać rój w nim w ciemności?
‫Tak kochanie.
‫Tak, zobaczmy to.
‫A potem może uruchom usługę, a może stworzysz usługę, na której wiesz, że wynajmiemy,
‫zrobimy losowe dema, więc mówi, że to menedżer, może usługa wywołuje oburzenie i jajka lub coś działającego na porcie 80 80
‫lub coś takiego.
‫Teoretycznie myślałbym, że to zadziała, ponieważ dopóki nie spróbujesz
‫publikować na portach, jedno może być interesujące, czy pozwoli wirtualnej kamizelce, którą tworzy.
‫Może to
‫Och, to dobra uwaga, ponieważ Docker
‫Tucker bez rootowania nie ma dostępu do tworzenia wirtualnych interfejsów.
‫Nie rozumiem dlaczego nie.
‫Próbuję myśleć, że nie powinienem być w stanie wygenerować nowego zwrotu.
‫Tak.
‫Więc co się stanie, gdy zrobisz listę sieci tam lub mniej sieci
‫w tańcu.
‫Tak, ma ich.
‫To znaczy, może to może nie mogę, nie mogę użyć trybu hosta lub czegoś, o czym pamiętałem,
‫czytając coś.
‫W sieci było coś, czego nie można było obejść bez rootowania, ponieważ zasadniczo zmieniało
‫to szyję.
‫Tak, pamiętam korzystanie z sieci hosta.
‫Tak, pamiętam, że coś o tym słyszałem.
‫Tak.
‫To, czego prawdopodobnie nie możesz zrobić, to na przykład z powodu ograniczenia tego mniej niż tysiąca zakupionych, prawdopodobnie
‫nie możesz mieć proxy działającego i równoważącego swoje własne usługi poniżej tego,
‫więc nie możesz ujawnić w zasadzie portu naziemnego, że nie oznacza albo model albo.
‫Tak, nie wiem.
‫Palce potrzebują czegoś takiego.
‫Marcus pyta o listy demonów, jak to możliwe.
‫Tak, ale to inna sprawa.
‫Mam na myśli, że to nie jest demon, chyba że jest to bezwzględne, a podstawową różnicą jest to, że demon.
‫Nie powinieneś potrzebować demona za tym, a nas to nie obchodzi.
‫Nie udostępniamy nikomu innemu.
‫Myślę, że moglibyśmy zrobić coś z pojemnikiem i może.
‫Dobrze.
‫Tak.
‫Tak to prawda.
‫Myślę, że zasadniczo tak by było.
‫Rozumiem, że byłoby to trochę trudne, ponieważ sojusznik demokracji po prostu z tobą rozmawia.
‫Tak.
‫Zasadniczo kaczka lub, powiem, sposób, w jaki kończy się projekt, polega na tym, że serwer klienta.
‫Więc tak, mamy wersję demo.
‫Byłoby prawie tak, jakby ich ołów wymagał SEAL. Dodam, że w tle
‫naprawdę działa doker.
‫Proces Dockera D, ale technicznie nie uruchamiający go jako demona, po prostu wpada
‫w samo serce dokera.
‫I tak, ponieważ nie mogłeś tego zrobić w porządku.
‫Musisz to zrobić.
‫W porządku.
‫Tak, to byłby interesujący przypadek użycia dla ciebie.
‫Więc inicjacja.
‫Zasadniczo chcesz, aby móc tworzyć kontenery.
‫Ale problem polega na tym, że jeśli dzielisz VCA, powinieneś to zrobić, a także chcesz napisać dowolny kontener.
‫W zasadzie potrzebujesz pojemników wewnątrz pojemnika, a to czyni to bardziej skomplikowanym.
‫Jednym ze sposobów przesłonięcia jest to, że w zasadzie można robić kontenery obok kontenerów.
‫Po prostu odsłaniaj swojego psa, więc wejdź do pojemnika i możesz wyciągnąć więcej pojemników.
‫Ale na tym samym pokładzie i silniku, a drugą rzeczą, którą możesz zrobić, jest wsiadanie do doktora
‫wewnątrz lekarza.
‫Zasadniczo możesz dzielić demona w swoim CIC, kontenerze i drugim.
‫Zasadniczo to schronienie w celu wyeliminowania większego ograniczenia, które lekarz zainicjował udostępnianie, ponieważ wcześniej trzeba
‫było wysyłać przywileje więcej randek, a jeśli używasz użytkownika długo, być może te osoby mod
‫nie są konieczne, aby zrobić gówno w swoim własnym kontenerze.
‫Ale po przetestowaniu tego też miło.
‫Tak.
‫A gdybyś mógł żądać mniej, znacznie by to uprościło.
‫Euro za miasto, aby nie dzielić demona, nie wchodzi do twojego układu hormonalnego.
‫Dużo więcej pytań.
‫Nie sądzę, że jest to pytanie o sprawdzanie plików binarnych lub aplikacji w kontenerze lub działanie
‫idealnie, czy nie.
‫Wszelkie funkcje Dockera.
‫Nie, nie ma żadnych nowych funkcji z tym związanych, a to nie jest związane z listami demonów
‫lub Dockerem bez rootowania.
‫Naprawdę Dockers ma już wszystkie funkcje, których naprawdę potrzebujesz do sprawdzania plików binarnych lub
‫aplikacji, aby działały idealnie.
‫Masz dzienniki Docker, masz zdarzenia Docker, masz dzienniki demonów dokera.
‫Możesz sprawdzić to na moim kanale YouTube, ponieważ rozmawialiśmy o tym w zeszłym tygodniu.
‫W rzeczywistości mamy program sysadmin, że rozmawialiśmy na różnych poziomach rejestrowania i zdarzeń
‫oraz monitorowania rzeczy w Docker, więc sprawdź to.
‫To jest Brett Fisher dot com slash YouTube, a następnie wyszukaj tam sysadmin i
‫możesz znaleźć to pytanie, które było dobre.
‫Co z perspektywy bezpieczeństwa.
‫Jaka jest różnica między używaniem kontenerów bez uprawnień roota a przestrzeniami nazw użytkowników
‫w zależności od tego, jak zamierzasz utworzyć przestrzenie nazw użytkowników, jeśli potrzebujesz dostępu do konta root, aby je
‫utworzyć, to w zasadzie nie będziesz bezwzględny.
‫Ale pytanie, gdzie je uruchamiasz, nie polega na tym, jak je tworzysz.
‫I w gruncie rzeczy są to bezwzględne modele, w których tworzysz swoje przestrzenie
‫nazw użytkownika poniżej własnej przestrzeni nazw użytkownika Tak, to znaczy, technicznie myślę, że to zabawne, w zależności
‫od tego, jak technicznie chcesz to zrobić. którego jestem wielkim fanem, ale to
‫bez rootowania.
‫Tak będzie.
‫To będzie bardziej dotyczyło tylko rzeczy znajdujących się w moim użytkowniku, a przestrzenie nazw użytkowników oznaczają, że demony dokera wciąż działają jako root,
‫co oznacza, że muszę mieć dostęp do roota. Muszę zbudować działający Docker jako
‫root. Muszę być przynajmniej w grupie dokerów. aby uzyskać dostęp do tego, a następnie przestrzenie
‫nazw użytkowników oznaczają, że użytkownik uruchomiony w kontenerze i sam kontener nie są uruchomione w procesie rootowania, ale jeśli
‫były jakieś błędy typu zero day i ten pies lub demon, który pozwolił ci jakoś przeskoczyć do demona
‫z kontenera, to może spacje z nazwami użytkowników nie mogłyby ci w tym pomóc.
‫Może nie wiem, czy to z punktu widzenia bezpieczeństwa.
‫Myślę, że możesz tu siedzieć i dyskutować przez cały dzień.
‫Który jest lepszy.
‫Powiedziałbym, że chodzi bardziej o przypadki użycia, tak jak jeśli chodzi o to tak, jak
‫ja, nie chcę nawet, aby coś było nawet niegrzeczne.
‫Przy okazji dla Dr. demon, ale mam nadzieję, że kiedyś do
‫niego dotrzemy, jest miejscem, w którym można uruchomić kaczkę lub demona, a następnie uruchomić przestrzenie nazw użytkowników, a to zasadniczo oznacza, że
‫każdy kontener działa jako użytkownik inny niż root, ale teraz nie są one inne
‫użytkownicy.
‫Tak więc każdy kontener działający w przestrzeniach nazw użytkowników jest tym samym kontem użytkownika i byłoby super fajnie
‫dla bezpieczeństwa, gdybyśmy uruchomili ten, w którym każdy uruchamiany przez ciebie kontener był innym
‫użytkownikiem, co oznacza, że mogliby, gdyby ktoś miał kontener lub wykorzystał to, czego nie mogliby Nie umieszczaj go w innym
‫pojemniku.
‫Tak, tak, to myślę, ponieważ funkcja przestrzeni nazw użytkownika została w dużej mierze napisana
‫przez innego kapitana doktora i Phila Estesa, który był w serialu, rozmawiał o tym w ubiegłym roku na polach nazw użytkowników
‫i zapytałem go, jakbyśmy dostali się do użytkownik w przestrzeniach użytkownika użytkownik na kontener
‫rzecz, który nazywają podobnie jak przestrzeń nazw użytkownika 2. 0 i WI, a on był tak, jakby nie wiem, czy ktoś jest
‫kimś, kto chce zbudować tę funkcję, więc byłaby to fajna funkcja, ale nie sądzę,
‫aby to jeszcze działało.
‫Och, więc Marcus mówi, że rój nabywa ładowanie modułów jądra i zwykle dodaje trasy, więc nie możesz użyć
‫nakładki. Myślę, że jedno z ograniczeń nakładki wymaga modułów jądra.
‫Może coś wirtualnego tutaj.
‫Tak, myślę, że nakładanie działa w 1.
‫Są plany ataku, myślę, że myślą o marzeniach, ale o swoich wadliwych systemach.
‫Rowerzyści pytają, czy istnieję w pojemniku bez korzeni.
‫Czy istnieje hasło dostępu do trasy lub pseudo trasy lub czy
‫trasa jest całkowicie niedostępna. Myślę, że trasy wewnątrz kontenera są w zasadzie użytkownikiem kursu demona, ale myślę, że to
‫niesamowite.
‫Tak.
‫Więc tak.
‫to jest to!
‫Podoba mi się ta odpowiedź.
‫To tak.
‫Jeśli tak, jeśli jesteś w kontenerze i jesteś użytkownikiem root w kontenerze, nadal nie
‫masz więcej uprawnień niż to, co demon dokera kończy na hoście, który jest twoim kontem użytkownika.
‫Więc w pojemniku możesz.
‫Technicznie możesz podać trasę w kontenerze lub hasło.
‫Możesz budować użytkowników budżetu w kontenerze, ale w systemie plików hosta nie znają innych słów, ponieważ
‫byłoby to eskalacją i przywilejami wykraczającymi poza to, co wolno ci robić dobrze.
‫Dziękuję bardzo Dmitri.
‫To naprawdę fajne rzeczy, których nie zdawałem sobie sprawy, że instalacja skryptu była tak łatwa,
‫ponieważ oryginalny post opublikowany przez zespół dokerów był trochę zniechęcający, ponieważ lubię.
‫To jest godzina mojego czasu na zainstalowanie, ale teraz, gdy mam skrypt instalacyjny, taki jak
‫ty dla zwykłego Dockera, idzie tak, idzie świetnie.