‫Sobra na tela é Dmitri.
‫Eu acho que esta é sua primeira vez no programa certo.
‫Sim.
‫Tudo certo.
‫Esta é a primeira vez.
‫Então, obrigado por me receber.
‫Sim.
‫E ele está agora na Grécia, mas na verdade está normalmente em Barcelona, realizando o encontro mais sombrio do Barcelona.
‫Ele é o fundador da Harbor Cloud Solutions e eu estou super empolgado com ele no programa, porque ele vai
‫falar conosco sobre o Docker sem raiz, que é uma coisa totalmente nova este ano e falaremos sobre por que isso é
‫importante e por que você pode querer para conferir.
‫Dimitri, qual é o passo do elevador para alguém que conhece contêineres e sabe como executar o Docker agora,
‫por que eles deveriam se preocupar com o Docker sem raiz?
‫Sim, basicamente.
‫Primeiro de tudo, por que precisamos de contêineres em primeiro lugar.
‫Basicamente, o que queremos fazer com contêineres é que queremos isolar os
‫aplicativos dentro de seu espaço de usuário específico para que eles não possam fazer coisas fora desse espaço e isolá-los.
‫E nesse contexto.
‫Mas uma vez que alguém é capaz de executar contêineres, o que sabemos é que, se normalmente o que dizemos se você
‫tem acesso ao soquete do médico, basicamente você está fora da aplicação do
‫sistema operacional.
‫E, basicamente, isso significa que, se alguém puder acessar o médico para que eu possa escolher uma rota no sistema
‫operacional, não queremos isso.
‫Você basicamente quer que alguém seja capaz de ter pensamentos isolados e não seja capaz de fazer esse tipo
‫de coisa e escreva com eles a história com um bastão, basicamente com a verdade, é o que podemos dizer que
‫somos capazes de fazer.
‫Lamento.
‫Aguentar.
‫Sim.
‫Eu gostaria de um congelamento cerebral severo agora.
‫Não, tudo bem.
‫Então, sim, basicamente com o rootkit é o que temos é a capacidade de executar contêineres, mas não com a toxicidade
‫do sistema operacional, para que alguém não possa em alguns contêineres sem ser rude.
‫Portanto, se alguém sair desse contêiner, ele não poderá acessar o sistema operacional, digamos que sim.
‫Direita.
‫Basicamente, o que você faz é duplicar algum tipo de X e outra camada de segurança sobre os contêineres.
‫Direita.
‫Portanto, isso significa que, também, se eu quiser executar um contêiner de docker, se estiver executando no modo cruel, isso
‫significa que eu nem preciso de rota, posso ser apenas um usuário comum.
‫Sim exatamente.
‫Então, basicamente, se você não precisa do ruby para poder instalar o
‫Docker em alguma máquina e pode usar o Dr. Oz como um usuário normal daquela máquina específica e você
‫pode criar contêineres como se fosse uma rota, e criar alguns usuários, alguns contêineres.
‫Mas você não precisa acessar essa máquina específica.
‫Sim.
‫Então, basicamente, existem dois tipos de benefícios em duas regiões diferentes Jane, dois tipos diferentes de usuários, digamos, aqueles são os
‫usuários que existem desenvolvedores, talvez eles não compartilhem a rota acessando a máquina específica em que
‫estão trabalhando e agora com os personagens eles podem instalar o médico sem dar acesso à rota
‫e podem usá-lo para colocar contêineres em seu próprio ambiente e o outro é se você é um operador
‫ou se você está usando isso se tiver uma classe lá, por exemplo
‫que você deseja criar em seu próprio cluster e não executa contêineres usando um médico no modo de rota, mas
‫deseja usá-lo em uma coisa longa do usuário em um usuário específico, para que, mesmo que alguém
‫saia dessa contêiner específico, não será possível acessar a rota para essa máquina específica.
‫Então você tem basicamente.
‫E mais uma camada de contato de segurança, especialmente da cena certa.
‫E basicamente é essa a ideia e você diz que deve ter algum tipo de restrição.
‫Mas vamos ver isso na demo.
‫Mas basicamente você pode fazer o que pode fazer normalmente com contêineres.
‫Sim, bem, vamos lá.
‫Vamos fazer isso, vamos a algumas demos.
‫Eu acho que às vezes é ótimo falar sobre algo, mas também é legal de se ver.
‫Vamos para a demo lá.
‫ESTÁ BEM.
‫Então, basicamente, o que temos aqui é que você criou uma nave espacial.
‫Minha máquina é um Mac para que eu possa lá.
‫Então, o médico é implacável no meu máximo, porque basicamente queremos ter um kernel Linux nele.
‫Então, o que estou usando é usar uma caixa virtual e vagabunda para executar máquinas virtuais e caixas virtuais em um
‫tempo de execução da máquina virtual e de que tipo é.
‫Basicamente, um fornecedor para o qual todas as máquinas da minha caixa in vitro.
‫E esta é basicamente a minha configuração.
‫Eu tenho duas máquinas específicas que estou criando.
‫Um é um cruel que nasce dois da versão 64 da Sanyo e o outro é quatro basicamente.
‫Então, o que nós queremos desses cruéis é que eu vou fazer uma instalação no modo cruel na estrada.
‫Basicamente, vou fazer uma instalação normal do Docker e raspar-los já em execução
‫e há tatuagens.
‫Você verá que essas máquinas estão funcionando uma
‫vez.
‫Ok, então, na tela de toque, vou entrar em uma máquina cruel e na tela de baixo,
‫vou dizer que é tarde demais.
‫Eu gosto de tristeza Sim, eu não sei se está escrito assim, mas isso soa.
‫Acabamos de criar uma nova palavra triste que não era uma coisa, agora é uma coisa.
‫ESTÁ BEM.
‫Então, como vamos instalar o modo implacável aqui.
‫Então, eu vou apenas mostrar quais são os comandos para isso.
‫E então eu tenho um script que é o configurado aqui, que basicamente é o que eu preciso, a
‫fim de preparar o sistema operacional que o Born enviará a versão 64 para jovens, é que eu
‫quero ativar as tabelas IP no gabinete.
‫Quero ter isso. Basicamente, o que quero fazer é instalar o Docker com estes comandos.
‫Basicamente, este é um script que dizia sim, vamos chamar de implacável.
‫E normalmente você não deve aceitar scripts da Internet assim e assim.
‫Mas digamos que conheceríamos o público em Ok, é.
‫Nós somos pelo menos SSL para os Dockers que você tem, por isso seria necessário exigir que alguém aproveitasse
‫isso.
‫Mas você sempre pode puxá-lo para baixo.
‫Exatamente.
‫Você não pode puxá-lo para baixo.
‫Se você comer e depois executá-lo corretamente.
‫Sim.
‫Então, eu já executei no início antes, então ele basicamente sabe que já o instalei.
‫Mas se você está na primeira máquina com isso, deve ser suficiente para
‫instalar o modo implacável e o que o Kozmo faz é criar o serviço no System D, que basicamente roda dentro do diretório
‫inicial.
‫Então você vê que este é o outro serviço dentro da minha casa, que é o meu nome de usuário
‫e nessa máquina, e lá está o sistema em que o serviço está instalado.
‫E se você ver o binário, por exemplo, use estes o fundo sendo o implacável no modo experimental e
‫esses termos que eu estava sobreposto e depois que os tiver instalado, se eu gostar, parece que não fará nada
‫porque não mostro ter dispositivo porra, eu nunca me deparo com nada lá
‫porque meu soquete agora está dentro desse espaço de usuário no soquete errado de mil Docker do usuário.
‫Portanto, preciso exportar esses hosts do Docker e, agora, com os Piers maiores, você pode ver que
‫eu posso usar, posso obter um ticket, se eu me importo com o mundo, por exemplo, você pode ver que agora
‫eu posso executar coisas dentro do container e aparece por exemplo e não tem nada.
‫E veja aqui, você pode ver que os contêineres que já são executados em todo o ambiente fazem a mesma coisa
‫aqui.
‫E para instalá-lo, basicamente o comando é este e é o get Docker e, em seguida, você baixa o script que
‫o executa e depois de executá-lo e você tem tudo, mas eu já o
‫tenho instalado, então vou continuar para pará-lo agora.
‫E uma vez instalado, você poderá ver um médico em execução.
‫Então, vamos ver agora qual é a diferença entre esses dois ambientes.
‫Se eu fizer um B. S. aqui e fale sobre os cuidados que você verá que meu
‫médico está executando a rota dos EUA e está executando estes com estes comandos e aqui, se eu disser para um médico, você verá que
‫existem outros comandos porque está usando o kit brutalista e se você vê todos esses comandos em execução no
‫plano de fundo do usuário.
‫Portanto, não há usuários rodoviários executando nada.
‫E essa é basicamente a maior diferença entre os dois, então vamos tentar executar os mesmos comandos
‫nas duas máquinas em que você está.
‫Olá Mundo.
‫Você verá que isso executa a mesma coisa e vamos ver algumas outras coisas nas quais podemos executar.
‫Antes de mais, gostaria de dizer alguém.
‫Outra diferença é que, se você está na estrada para a minha cena
‫aqui agora, pode ver que o Dr. Pierce está sendo executado diretamente, mas isso ocorre
‫porque, se estivermos participando dos grupos, você poderá ver isso.
‫Eu tenho o grupo médico aqui.
‫E se eu for logar como acho que há outro osso para usar aqui e se eu fizer isso europeus, não
‫posso fazer nada com o soquete.
‫E isso é porque eu não pertenço ao grupo médico.
‫Portanto, essa é uma das diferenças: se você pertence ao grupo médico, basicamente você tem acesso
‫ao soquete médico.
‫E se você não pertence ao grupo, basicamente precisa fazer um show para fazer isso.
‫Sim.
‫E esta é uma maneira de acessar o soquete na máquina furiosa e outra e outras maneiras de usar
‫o grupo.
‫E a grande diferença aqui no implacável é que você não precisa de nenhum dos dois.
‫Você não precisa ter, e o mesmo ocorre com algum tipo de soquete que pertence a outro usuário.
‫Você acabou de executá-lo em seu próprio espaço de usuário e tudo.
‫OK, então vamos ver alguns outros comandos, por exemplo, os dois eram olhos.
‫Coisas que estão correndo dentro da sala cheia.
‫Se adotamos a sobreposição clara de forma viral, é aqui que nossas sobreposições são executadas na edição para o ambiente, mas se
‫verificarmos a mesma coisa aqui, você verá que elas não têm nada lá.
‫E isso ocorre porque tudo está sendo executado em nosso próprio espaço de usuário.
‫E eu posso encontrar essas coisas neste diretório, que é o Sir Doctor local.
‫E então aqui você pode ver a sobreposição que ocorre e pode ver que elas estão dentro do mesmo paciente
‫usuário.
‫Meu próprio usuário.
‫Então, em nossa defesa, que podemos encontrar, por exemplo, use isso.
‫Vamos executar algo agora.
‫Ela está expondo um quadro.
‫Então, eu estou usando um motor X e estou expondo-o nas trinta e dois mil setecentos e sessenta e
‫oito portas e depois fui para a mesma merda.
‫Então, sim, isso é algo assim.
‫Então, se eu não souber.
‫OK.
‫Agora eu tenho certeza que você pode ver as extremidades em X e a mesma coisa acontece aqui.
‫OK.
‫Até agora é o mesmo.
‫Mas se formos e tentarmos fazê-lo, vamos parar com esse e, devido à
‫exposição comprada nos anos 80, você pode ver que, como eu quero dizer a terra do usuário, não
‫posso expor relatórios sobre os milhares.
‫Não é certo, pelo menos porque o único usuário da rota pode expor no número certo e em seu ambiente completo.
‫Você pode ver que isso é possível.
‫Assim como alguns escritores.
‫Sim, não há limitação.
‫Sim exatamente.
‫Por isso, como usuário normal, você não pode acessar esse tipo de portal, ou seja, é impossível
‫revisar mais ou menos.
‫Essas são as diferenças.
‫E não tenho mais demos para isso.
‫Sei que, se você quiser, podemos fazer algumas perguntas ou discussões um pouco mais sobre as diferentes rotas para
‫esse modo.
‫Sim eu.
‫Há algumas perguntas definidas.
‫Um deles é sobre o que não tem raiz, não pode compartilhar o soquete mais escuro, por exemplo, e eu dei uma você pode querer expandir isso
‫Eu meio que dei uma resposta dizendo Bem, eles são soquetes diferentes do demônio mais
‫escuro que está na raiz do modo Não é diferente, você é L no sistema de arquivos. É um caminho
‫diferente.
‫Então eu acho que tecnicamente você poderia executar esses dois ao mesmo tempo.
‫Eu suponho que sim.
‫Eu não sei por que você faria, mas você poderia se você fosse algo que não tinha o Docker, se não tinha acesso
‫root ou acesso ao grupo do Docker e queria executar o Docker em uma máquina que já
‫tivesse o Docker, e acho você quer dizer todos os arquivos e tudo ao redor dos diferentes caminhos.
‫Direita.
‫Então, mesmo que você tenha um modo de dizer a verdade, eu não ligo.
‫A execução no diretório viral normalmente é para todos os usuários, mas se você o estiver executando
‫em seu próprio território, basicamente apenas um usuário.
‫Direita.
‫Então você provavelmente deve poder dizer que está tudo bem.
‫Se você der acesso a alguns outros usuários, mas normalmente esse não for o caso.
‫Sim Sim.
‫Outra questão é dizer
‫que posso usar montagens e volumes apenas com arquivos no meu usuário que tenham permissão para.
‫E sim, isso é verdade porque tudo aqui está no escopo da sua conta de usuário.
‫Direita.
‫Então é só para você.
‫Sim.
‫Sim exatamente.
‫Então, basicamente, o que seu usuário pode fazer, basicamente, o que seus contêineres podem fazer, sim.
‫E agora quero dizer que tecnicamente você poderia ter como você.
‫Como você quer dizer que tecnicamente pode ser alguém com rota e você
‫está apenas escolhendo executá-lo em sua conta de usuário, mas como o demônio docker, neste caso, está
‫sendo executado em sua conta, ele só terá acesso e permissões para as coisas lá .
‫Sim.
‫Sim exatamente.
‫Veja o que mais.
‫Marcus de ontem o nariz de Margo está de plantão.
‫Ele é fácil.
‫Ele tem muitas perguntas.
‫E se.
‫Isso funciona.
‫Boa pergunta.
‫Mm hmm mm hmm.
‫Deveria poder trabalhar o trabalho que eu não testei.
‫Sim.
‫E daí se você apenas tentar enxame de ventosas no escuro?
‫Sim amor.
‫Sim, vamos ver isso.
‫E, em seguida, talvez execute um serviço crie talvez em um que você sabe que vamos alugar,
‫vamos fazer demonstrações aleatórias, por isso diz que é um gerente talvez o serviço crie indignação e ovos ou algo em execução na porta 80
‫80 ou algo assim.
‫Quero dizer, em teoria, eu pensaria que funcionaria porque, desde que você
‫não tente publicar nas portas, uma coisa pode ser interessante é permitir o virtual o colete que ele cria.
‫Pode.
‫Oh, esse é um bom ponto, porque
‫o Docker Docker Tucker sem raiz não tem acesso para criar interfaces virtuais?
‫Não vejo por que não.
‫Estou tentando pensar que não deveria ser capaz de criar um novo retorno.
‫Sim.
‫Então, o que acontece quando você faz uma lista de redes lá como uma rede ou
‫menos na dança.
‫Sim, eles têm.
‫Quer dizer, talvez seja talvez eu não consiga, talvez não consiga usar o modo host ou algo que me lembrei de
‫ler algo sobre.
‫Havia algo nas redes que não podia ficar sem raiz, porque isso estava mudando o
‫pescoço basicamente.
‫Sim, eu lembro de usar a rede host.
‫Sim, eu lembro de ouvir algo sobre isso para mim.
‫Sim.
‫O que você provavelmente não pode fazer é, por exemplo, devido à limitação de menos de mil comprados, você provavelmente não pode ter
‫um proxy em execução e fazer um balanceamento entre seus próprios serviços abaixo disso, para
‫que você não possa expor basicamente uma porta no terreno que não significa ou modelo também.
‫Sim, eu não sei.
‫Os dedos precisam de algo assim.
‫Marcus está perguntando sobre listas de demônios, assim como é possível para nós.
‫Sim, mas isso é uma coisa diferente.
‫Quero dizer, isso não é demônio, a menos que seja implacável e a basicamente a diferença é esse demônio.
‫Você não deveria estar precisando de nenhum demônio por trás disso e não nos importamos.
‫Não compartilhamos com mais ninguém.
‫Eu acho que poderíamos fazer algo com contêiner e o talvez.
‫Direita.
‫Sim.
‫Sim, é verdade.
‫Quero dizer, acho que seria fundamental.
‫Eu posso ver como isso seria um pouco complicado, porque a democracia aliada apenas fala com você.
‫Sim.
‫Basicamente, um pato ou devo dizer que a maneira como está sendo finalizada no design é o servidor do cliente.
‫Então, sim, temos uma demonstração.
‫Seria quase como se a liderança deles precisasse de um SEAL, acrescentando que, em segundo plano, está
‫realmente executando uma janela de encaixe.
‫O processo do Docker D, mas não tecnicamente executando-o como um demônio, está apenas rodando no
‫coração da execução do docker.
‫E sim, porque você não poderia fazer isso em torno de d d certo.
‫Você teria que fazer isso.
‫OK.
‫Sim, esse seria um caso de uso interessante para você, por exemplo.
‫Então iniciação.
‫Basicamente, o que você quer é que você seja capaz de criar contêineres.
‫Mas o problema é que, se você compartilhar o VCA, deverá escrever também qualquer contêiner.
‫Então você basicamente precisa de contêineres dentro do contêiner e isso torna mais complicado.
‫Uma maneira de substituir isso é basicamente você pode fazer contêineres ao lado de contêineres.
‫Então, basicamente, expondo o seu cão, para entrar no seu recipiente e você pode desenhar mais recipientes dentro.
‫Mas no mesmo convés e motor e a outra coisa que você pode fazer é entrar no depósito dentro
‫do médico.
‫Então, basicamente, você pode compartilhar um demônio dentro do seu CIC, o contêiner e o outro.
‫Basicamente, este abrigo, a fim de eliminar mais restrições que o médico iniciou os compartilhamentos, porque anteriormente
‫você precisava enviar privilégios a mais encontros e, se você estiver usando muito tempo, talvez essas
‫pessoas não sejam necessárias para fazer merda dentro de seu próprio contêiner.
‫Mas tendo testado tão bem também.
‫Sim.
‫E se você pudesse ter uma demanda menor, isso simplificaria bastante.
‫Euro uma cidade para não compartilhar um demônio não entra no seu sistema endócrino.
‫Muito mais perguntas.
‫Na verdade, não acho que seja uma pergunta sobre verificar binários ou aplicativos dentro de um contêiner ou funcionar
‫perfeitamente ou não.
‫Qualquer Docker aparece lá.
‫Não, não há novos recursos relacionados a isso e isso não está relacionado a listas de demônios ou
‫ao Docker sem raiz.
‫Realmente, o Dockers já possui todos os recursos necessários para verificar binários ou aplicativos
‫para que funcionem perfeitamente.
‫Você tem logs do Docker, eventos do Docker e registros do demon dock.
‫Você pode conferir no meu canal do YouTube para isso, porque conversamos na semana passada.
‫Na verdade, temos o sysadmin show e conversamos sobre os diferentes níveis de registro e eventos
‫e coisas de monitoramento no Docker, portanto verifique isso.
‫Esse é o Brett Fisher no YouTube e, em seguida, pesquise sysadmin e você poderá
‫encontrar essa pergunta que foi uma boa pergunta.
‫O que da perspectiva de segurança.
‫Qual é a diferença entre usar contêineres sem raiz e espaços de nome
‫de usuário, dependendo de como você criará seus espaços de nome de usuário se precisar ter acesso raiz
‫para criá-los, basicamente, você não será cruel.
‫Mas a questão não é onde você os executa, como você os cria.
‫E basicamente são modelos implacáveis que você cria seus espaços de nome de usuário
‫abaixo do seu próprio espaço de nome de usuário. Sim, quero dizer, acho que tecnicamente é engraçado, dependendo de como
‫você deseja obter tecnicamente. do qual sou um grande fã, mas que as coisas sem
‫raízes estão certas.
‫Isso vai ser.
‫Isso será mais sobre apenas as coisas que estão no meu usuário e os espaços de nome de usuário significam que os demônios do docker ainda estão executando
‫o root, o que significa que tenho que ter acesso ao root. Tenho que criar um
‫Docker executado como root. Tenho que estar no grupo do docker pelo menos obter acesso a isso e, em
‫seguida, os espaços de nome de usuário significa que o usuário em execução no contêiner e o próprio contêiner não estão em execução
‫no processo raiz, mas se houvesse algum bug do dia zero e aquele cachorro ou demônio que permitisse que você pulasse de alguma
‫forma no demônio do contêiner, talvez os espaços de nome de usuário não o ajudem com isso.
‫Talvez eu não saiba que é da perspectiva da segurança.
‫Eu acho que você poderia sentar aqui e debater isso o dia todo.
‫Qual é o melhor.
‫Eu diria que é mais sobre os casos de uso, como se não fosse
‫assim, eu nem quero que nada seja rude.
‫A única coisa que não temos em espaços de nome de usuário sem raiz, a propósito, para o Dr. demon ainda que espero que um dia seja
‫onde você possa executar duck ou demon e, em seguida, executar espaços de nome de usuário e o que isso significa fundamentalmente é que
‫todo contêiner está sendo executado como um usuário não root, mas no momento não é diferente
‫Comercial.
‫Portanto, todo contêiner em execução nos espaços de nome de usuário é a mesma conta de usuário e seria super
‫legal por segurança se executássemos aquele local em que cada contêiner iniciado fosse um usuário
‫diferente, o que significa que eles poderiam se alguém tivesse um contêiner ou explorasse, eles não poderiam coloque-o em um contêiner
‫diferente.
‫Sim, sim, acho que isso porque o recurso de namespace do usuário foi em grande parte escrito por outro
‫capitão de médico e Phil Estes, que esteve no programa, falou sobre o ano passado, na verdade, sobre espaços de nome de usuário e eu meio que
‫perguntei a ele como vamos chegar ao usuário em espaços de nome de usuário usuário por coisa
‫de contêiner que eles chamam de espaços de nome de usuário 2. 0 e WI e ele era como se eu não soubesse se alguém
‫é alguém que queira criar esse recurso e, portanto, seria um recurso interessante, mas acho
‫que ainda não está funcionando.
‫Ah, então Marcus está dizendo que o swarm adquire o carregamento de módulos do kernel e geralmente adiciona rotas para que você não possa usar a
‫sobreposição. Acho que é uma das limitações que a sobreposição requer dos módulos do kernel.
‫Talvez a coisa virtual aqui.
‫Sim, acho que a sobreposição funciona no 1.
‫Existem planos para atacar, acho que eles estão pensando em sonhar, mas em seus sistemas em falha.
‫Motociclistas perguntando se eu existo em um contêiner sem raiz.
‫Existe uma senha para acessar a rota ou o pseudo de rota
‫ou a rota está completamente indisponível? Acho que as rotas dentro do contêiner são basicamente o usuário do curso do demônio, mas acho
‫isso incrível.
‫Sim.
‫Então sim.
‫É isso aí.
‫Eu gosto dessa resposta.
‫Isso é sim.
‫Se você estiver no contêiner e for o usuário raiz do contêiner, ainda não terá mais
‫privilégios do que o demônio do estivador está se esgotando no host, que é sua conta de usuário.
‫Então, no contêiner, você poderia.
‫Quero dizer, tecnicamente, você poderia dar rota em um contêiner ou senha.
‫Você poderia criar usuários com orçamento no contêiner, mas no sistema de arquivos host, eles não saberiam outras
‫palavras, porque isso seria uma escalação e privilégios além do que você pode fazer corretamente.
‫Então, muito obrigado Dmitri.
‫Isso é algo muito legal que eu não percebi que era tão fácil de instalar com o script agora que a
‫postagem original lançada pela equipe do docker era um pouco assustadora de se ver porque eu
‫gosto.
‫Esta é uma hora do meu tempo para instalá-lo, mas agora que eu tenho um script de instalação
‫como o Docker comum, ele funciona sim, ele fica ótimo.