‫D'accord.
‫Donc, quelque chose dont je voulais parler cette semaine et j'aimerais entendre vos commentaires à ce sujet dans les commentaires, que vous le fassiez ou
‫non, ou que vous craigniez que ce soit une excellente chose que le Dr les capitaines dont nous parlons dans notre chat
‫de sélection il y a quelques semaines, je pense, pourraient même l'avoir été la
‫semaine dernière ou la semaine précédente, mais il s'agissait davantage d'articles qui ont été publiés et l'un
‫d'entre eux il y a deux ou trois mois autour de l’analyse de la sécurité des
‫conteneurs et des images que vous créez à l’intérieur de Docker, qui constituent la pierre angulaire de vos conteneurs.
‫Celles-ci constituent également un espace de stockage pour votre application.
‫Ce qui est bien avec cette image, c’est qu’elle devient un très bon endroit pour rechercher les vulnérabilités connues ou
‫les failles de sécurité potentielles dans le code, les applications et la dépendance.
‫Nous appelons donc cela la numérisation de conteneur ou la numérisation d'image.
‫Il existe différents types de terminologie dans l'industrie, mais il existe de nombreux scanners et plus que
‫quelques-uns.
‫Et ceux-ci ont tous des avantages et des inconvénients et si vous êtes si cela semble familier.
‫Ceci est très similaire aux anciennes guerres antivirus où nous avions différents analyseurs
‫antivirus qui détectaient différentes choses.
‫Mais de nos jours, avec le contrôle des conteneurs, celui dont nous parlons le plus souvent utilise la base de données ouverte
‫des bases connues.
‫C'est le mot clé des vulnérabilités connues dans les logiciels open source, principalement des logiciels open source, mais ce
‫n'est pas exclusif à l'open source.
‫Il se trouve qu’il s’agit principalement d’open source, car c’est là que nous avons tendance à laisser les failles car
‫nous pouvons voir la source.
‫Nous nous retrouvons donc dans une industrie qui cherche à savoir où les problèmes sont plus rapides.
‫Donc, ce genre de choses a une base de données de vulnérabilités connues, elle est mise à jour tout le temps.
‫Et donc, il y a des scanners gratuits, qui analysent votre image et ses dépendances.
‫Ainsi, non seulement votre application, mais également toute application pour obtenir des dépendances installées, vous savez des choses comme Open SSL
‫ou même curl s'il y a une vulnérabilité dans cela et que vous l'avez dans votre image de conteneur.
‫Ces scanners sont censés vous aider à trouver ces vulnérabilités afin que vous puissiez les mettre
‫à jour et, espérons-le, appliquer une correction. Un article intéressant a paru au sujet d'un article de ce type, Steven. C'est autour de cela que ces
‫scanners ont tous des avantages et des inconvénients différents certains problèmes détectent d’autres problèmes et peut-être
‫que toutes les technologies ne font pas la même chose.
‫Mais à la fin de la journée, l’un des éléments essentiels de Linux dépend du système d’exploitation ou, dans ce cas, de l’image de base
‫comme celle que vous offrez à Debian S. O. S.
‫Des trucs alpins comme ça.
‫Ces différentes images de base doivent souvent être traduites lorsque les fichiers se trouvent sur le système et à quel programme
‫ils se rapportent, comme les bibliothèques Open Source Open SSL pour fournir le protocole SSL à vos serveurs Web.
‫Ainsi, ces fichiers existeront sur le système d’exploitation quelque part dans un
‫chemin de fichier. Ils seront tous regroupés dans un package. Ils devront donc fournir aux scanneurs une
‫traduction permettant aux scanneurs de localiser les packages.
‫D'ACCORD.
‫Donc c'est le fond.
‫Et il s’avère que toutes les distributions de système d’exploitation de Linux ne fournissent pas cette fonctionnalité et ne la fournissent pas toutes
‫aussi bien que d’autres.
‫Cela peut donc poser problème si vous recherchez des vulnérabilités.
‫En d'autres termes, votre image de base, que ce soit Ubuntu ou S. O. S ou Red Hat ou alpine, qui
‫compte maintenant pour vous, afin de pouvoir analyser la base de données complète des vulnérabilités connues de cette image.
‫Très bien et un point intéressant que je pense est venu à travers cet article et
‫en passant, je vais jeter cet article dans le chat en direct.
‫Vous pouvez vérifier cela.
‫Un point intéressant a été soulevé, à savoir que le problème alpin fait actuellement l'objet d'une discussion intéressante en bas,
‫ce qui est une discussion assez intéressante sur nous en tant que fabricants de conteneurs.
‫Peut-être que quelqu'un qui fabrique des conteneurs ou au moins est intéressé par la fabrication de conteneurs.
‫Et si vous créez ces images, l’une de vos préoccupations est la sécurité et la sécurité vous dit souvent que nous essayons de tout regrouper de
‫manière sécurisée ou que c’est nous qui l’avons fait et que ce n’est vraiment pas une bonne
‫chose.
‫Nous tous.
‫Si vous y restez suffisamment longtemps, vous savez que la sécurité est une chose et qu’il n’existe
‫pas de sécurité absolue.
‫Droite.
‫Peut-être que nous plaisantons toujours sur le fait que le système le plus sécurisé est celui qui est désactivé.
‫Ainsi, lorsque vous parlez de votre logiciel, vous tenez compte de nombreux facteurs. Alpine est une distribution
‫vraiment formidable qui fournit une image de base pour Alpine Linux. L’un des meilleurs atouts est qu’il est
‫très minime et qu’il est très petit. Meg qui est petit fou par rapport à quelque chose comme
‫une aubaine ou S. O. S.
‫Maintenant, vous pouvez comparer cela dans le système d’exploitation complet puisque, mais nous ne parlons ici que
‫des images; l’image de conteneur n’est pas votre système d’exploitation hôte.
‫Je ne veux pas parler de l'OS hôte, je veux juste parler de vos images de base pour vos conteneurs, car
‫ce que je vois dans l'industrie et nous adorons parler de cela en ligne, c'est quelle est la tendance
‫branchée que le Zeit Geist de notre communauté a en quelque sorte attiré l'attention et je pense qu'au cours des deux
‫dernières années, la popularité d'Alpine a beaucoup augmenté en raison du fait qu'elle a une si petite image pour les conteneurs, donc
‫c'est une bonne chose.
‫Et si vous savez que j’ai même fait cela, mais si je recherche dans Google, vous savez que l’image de base de Docker est sécurisée si vous commencez à regarder autour de vous si je
‫ne fais que rechercher le mot Alpine, il ne figure pas sur cette page.
‫C’était donc un échec de Google, mais j’espérais bien voir des gens parler d’Alpine,
‫car l’industrie préfère recommander Alpine comme moyen d’obtenir une sécurité automatique ou une sécurité
‫accrue.
‫Et la raison pour laquelle nous plaidons pour cela est que c'est petit.
‫Donc, si elle est plus petite, cela signifie moins de fichiers, moins de vulnérabilités potentielles, moins de choses
‫à corriger.
‫Droite.
‫Et c’est quelque chose que nous faisons depuis des décennies dans l’ère Windows 2000 en 2008.
‫Je me souviens de la sortie de Windows 2008 de Microsoft. Microsoft disposait d’une nouvelle version appelée Core, qui était une version plus petite de
‫Windows Server.
‫Et à l'époque, l'un des arguments les plus importants était l'amélioration de la sécurité grâce à une réduction des correctifs.
‫Et donc, si vous avez théoriquement moins de logiciels sur la machine, vous aurez moins à vous soucier de
‫la correction des correctifs et des vulnérabilités potentielles.
‫C'est donc dans notre cas Pyne que c'est l'une des raisons pour lesquelles ils prétendent qu'ils sont plus sécurisés mais que l'espace
‫n'est pas toujours le facteur numéro un en tant qu'opérateur exploitant des serveurs pour gagner sa vie. Je ne vois
‫pas cet espace comme pas cher.
‫Vous savez que 100 mégaoctets de cet espace, même si cinq fois ça me convient, je n'ai pas besoin de gagner cinq
‫cents mégas d'espace sur mes serveurs.
‫Ce que vous savez en général, je ne sauvegarde pas des systèmes d’exploitation complets. Vous vous concentrez généralement sur
‫les sauvegardes d’applications, surtout dans le cloud, où nous ne faisons pas de sauvegardes de serveurs à base
‫d’images si cela vous intéressait.
‫Autrefois, il fallait faire des sauvegardes d'images complètes et beaucoup de nos sauvegardes ne concernaient
‫que l'ensemble du système d'exploitation.
‫Eh bien, nous ne le faisons pas beaucoup, je pense en tant qu’industrie du cloud en particulier, et je pense que
‫lorsque nous parlons d’images et de taille, la taille n'est pas l'un de mes trois principaux facteurs en termes d'image
‫et de qualité.
‫Donc, quand je regarde une image et des problèmes de sécurité potentiels ou quoi que ce soit ou simplement en utilisant une
‫image, que ce soit un gig ou 20 mégohms à la fin de la journée, je ne suis pas si inquiet que je
‫dois juste planifier cela parce que finalement peut-être un coût de stockage, mais ce coût est l’une des choses les moins chères de
‫ma liste de coûts.
‫Les êtres humains étant la chose la plus chère et d’autres choses comme la puissance de calcul en termes de mise en
‫réseau de mémoire CPE, c’est toujours plus cher que le disque.
‫Donc, je n'ai pas tendance à recommander aux gens de faire Alpine hors de la porte.
‫En fait, si vous m'avez déjà vu parler de la production Docker, vous savez que l'une des choses dont
‫je parle est de rester avec ce que vous savez utiliser avec le stick Debian avec le stick Ubuntu avec le
‫système d'exploitation envoyé avec ces images, si c'est ce que vous avez l'habitude d'utiliser. parce qu'Alpine est très différent, il a un
‫gestionnaire de paquets différent, c’est le même emplacement de fichier, il va donc vous falloir modifier une grande partie
‫de votre application pour utiliser Alpine et, dans la plupart des cas, certains cas si vous utilisez Go ou peut-être pas J ou quelque chose que vous n'avez
‫probablement pas à changer beaucoup.
‫Mais même récemment, j’ai vu au cours de la dernière année et plus particulièrement au cours
‫des trois derniers mois, j’ai vu plusieurs autres indicateurs expliquant pourquoi vous ne devriez peut-être pas utiliser Alpine comme image de
‫base. Alpine et en disant cela décrit mauvais.
‫Il s’agit en réalité de faire le travail supplémentaire nécessaire à la mise en œuvre d’Alpine pour améliorer la sécurité et réduire
‫la taille des images. Par conséquent, je ne pense pas que ce sera même nécessaire et si nous
‫considérons ce nouveau type La discussion sur le problème alpin dans cet article de blog consiste à dire que l'alpinisme n'est peut-être pas le meilleur
‫endroit car il est très difficile, voire impossible, de rechercher les failles de sécurité dans la
‫base de données CV, cette base de données de vulnérabilités communes que vous pouvez " En réalité, vous ne le
‫faites pas encore avec alpine et vous pouvez le faire avec d’autres
‫que vous appréciez particulièrement pour Debian Red Hat.
‫Donc, si vous utilisez un scanner de sécurité, Alpine est une mauvaise chose pour vous.
‫Une autre chose que j’ai remarquée récemment est que l’alpin a parfois des problèmes insidieux qui vous envahissent
‫en partie et d’une manière inattendue.
‫Certains étudiants m'ont récemment dit qu'essayer de faire travailler Alpine avec le nœud Mohn posait
‫problème.
‫Et j'ai fait.
‫Je n'ai pas je n'étais pas au courant de cela.
‫Je ne l'ai pas testé, mais les gens me sont revenus et m'ont dit qu'ils utilisaient Alpine avec leur non-J. S. node mine et Node minus
‫quelque chose et non J S est pour utiliser pour la surveillance de fichier pour redémarrer automatiquement votre application de
‫nœud chaque fois que les fichiers changent.
‫C’est vraiment bon pour le développement, mais il est évident qu’ils
‫ont eu des problèmes avec Alpine alors qu’ils n’auraient pas eu de problèmes
‫avec Ubuntu et Debian. une nouvelle image de base.
‫Donc beaucoup de gens viennent me voir et me disent ce que tu penses d'Alpine si je devais tout
‫changer pour Alpine.
‫Devrais-je prendre toutes mes images que je construis sur Debian ou à l’abri de ou S. O. S ou autre chose.
‫Et devrais-je changer tous ceux-ci pour aller à Alpine parce que j’entends dire que c’est plus
‫petit et plus sûr et que ma réponse est honnête aujourd’hui, c’est plus compliqué que cela et vous devriez probablement l’envisager, mais
‫peut-être aussi ne pas vouloir rester avec ce que vous êtes. vous savez bien que les scanneurs fonctionnent avec des
‫années, vous pouvez probablement utiliser les images par défaut car toutes les images officielles par défaut de Docker, telles que nous
‫allons simplement regarder le nœud 1.
‫Ainsi, aucune image par défaut n’utilise par défaut Debian, qui est plus grande légèrement plus grande peut-être 80
‫Mo plus grande que l’image Alpine mais 80 Mo.
‫Je veux dire que c'est juste un petit facteur qui fait que ce n'est pas pour moi un facteur de motivation important, sauf si
‫je suis peut-être sur une sorte de périphérique IO T peut-être quelque chose comme ça.
‫Vous savez sur le bord ou quelque chose où j'ai un très petit lecteur flash ou quelque chose qui pourrait
‫être une préoccupation.
‫Mais si vous regardez les images par défaut si vous ne le réalisez
‫pas en arrière-plan, vous savez si vous tapez Docker run node ou duck ou si vous exécutez ma suite.
‫Celles-ci fonctionneront toutes sur Debian par défaut, car c'est ainsi que Docker les construisait il
‫y a six ans.
‫Mais tous ont maintenant des options alpines.
‫Donc, vous diriez peut-être ma suite Alpine et utiliserions l'étiquette Alpine, ce qui est bien, mais cela ne signifie pas que
‫vous obtenez automatiquement une meilleure expérience, tout le temps.
‫Tous les packages ne sont même pas disponibles dans Alpine Package Manager.
‫En fait, pour mon propre usage, je dois conserver des outils de sécurité ou différents utilitaires. Certains d’entre eux fonctionnent
‫chez Alpine et d’autres pas.
‫Et, franchement, je ne veux pas y aller et trouver manuellement comment les construire, car ils échouent et je
‫ne veux toujours pas résoudre ce problème à cause de bibliothèques différentes.
‫Je laisse donc juste une Debian pour la plupart de mes outils et j'en utilise d'autres via Alpine.
‫Et à la fin de la journée, je sais que presque tout va fonctionner immédiatement avec Debian,
‫car l’application permettant d’obtenir le gestionnaire de paquets ou le gestionnaire de paquets apt apt est un peu comme si le roi du gestionnaire de
‫paquets était tout.
‫S'il y a un paquet pour quelque chose, ce sera probablement un apt.
‫Droite.
‫Vous pourriez ne pas voir quelque chose dans Yum.
‫Vous ne le verrez peut-être pas dans le gestionnaire de paquets de notre Pyne, mais il
‫s'agira toujours d'un apt et viendra avec Debian et Ubuntu et d'autres variantes de ces images de base.
‫Donc, lorsque vous pensez aux images et à la somme de tout cela lorsque vous réfléchissez aux images
‫et que vous souhaitez construire vos images de base, la sécurité est définitivement un facteur.
‫Mais si vous êtes vraiment préoccupé par la sécurité, vous voudrez peut-être numériser vos images.
‫Donc, si vous voulez faire de l'alpinisme, cela peut être un inconvénient pour vous.
‫Dans ce cas, lisez cet article avec la plus grande fermeté puisque je l’ai écrit dans le texte.
‫Une autre chose est que l'avantage d'espace compte vraiment pour vous.
‫Vous savez si, si vous perdez un peu sur la sécurité potentielle et que votre taille d'image importe
‫moins, en particulier si vous êtes quelqu'un qui connaît 800 ou 900 images mag qui sont courantes lorsque
‫vous traitez avec des choses comme vous connaissez Java ou HP et des choses comme ça.
‫Celles-ci sont généralement de très grandes images comparées à 80 Mo ou à cinq Mo.
‫Alors réfléchissez un peu à ce sujet.
‫Ne basculez pas automatiquement tous vos documents, car vous avez entendu dire que les contours étaient plus sécurisés.
‫De toute évidence, Alpine a de nombreux autres avantages en matière de sécurité, car elle est petite.
‫Il contient très peu de vulnérabilités potentielles, mais il a des vulnérabilités bien que
‫ce ne soit pas insensible aux vulnérabilités logicielles, mais peut-être moins.
‫Ubuntu et Debian.
‫La dernière chose que je dirai à ce sujet est que si vous ne regardez pas l’autre à partir d’images telles que Ubuntu
‫et Debian, ces images deviennent de plus en plus petites au fil du temps et je vous montrerai par exemple.
‫C’est en fait une petite bête d’aile des animaux, car des images et des nouvelles versions, qui
‫se trouvaient dans de vieilles images, ont été extraites et qui peuvent en réalité causer des problèmes à votre logiciel.
‫Par exemple, payer ou config IP ou peut-être même la commande P S.
‫Il se peut que des éléments de l'image que vous utilisiez ne figuraient peut-être plus dans les images par défaut
‫des versions actuelles. Cela peut poser un problème si vous supposiez qu'ils
‫seraient toujours présents.
‫Donc, de nos jours, j'ai l'habitude d'utiliser même si j'utilise une aubaine pour l'image originale. J'utilise
‫peut-être les images par défaut qui utilisent une Debian.
‫Je vais également effectuer une installation appropriée de même que certaines choses telles que vous connaissez la commande PS pour la liste des processus ou les
‫commandes, ou tout ce dont je pourrais avoir besoin, en payant bien ou quelque chose comme ça, c'est juste pour m'assurer
‫que les futures versions prennent ces choses-là. out je les aurai toujours dans mon image car j'ai
‫créé une image personnalisée pour les installer.
‫Donc, si je fais juste une image Docker L S ici, je n’ai pas de machine nettoyée, alors non.
‫En fait, je n’en ai
‫que quelques-uns ici, donc si je fais un extrait d’image
‫Docker, il suffit de créer Ubuntu, puis de faire ses débuts, puis
‫Alpine, car ces chiffres changent tout le temps.
‫Je ne sais pas vraiment quels sont les chiffres les plus fréquents, quel est l'état actuel, aussi
‫réduisons l'image Docker encore une fois.
‫Alors, Alpine arrive à 5 et demi méga plutôt droit.
‫Si vous comprenez toute la raison derrière cela, c'est vraiment cool de savoir comment ils construisent des binaires statiques et
‫des binaires liés afin que ce ne soit pas vraiment petit.
‫Si vous regardez Ubuntu, il y
‫a trois ans, il était probablement cent vingt millions.
‫Cent trente Meg au moins.
‫Et maintenant, il ne reste plus que quatre vingt sept et la version actuelle de Debian est la suivante: 1 à 1.
‫Ce qui est étrange, car vous penseriez normalement qu’un avantage est normalement supérieur à celui de Debian et je
‫ne suis pas sûr que cela change dans la prochaine version de Debian.
‫Il y a probablement quelqu'un dans le chat qui connaît
‫cette
‫réponse plus rapidement que moi,
‫mais je pense qu'il pourrait y avoir une version C expérimentale peut-être trop expérimentale.
‫Je vais juste deviner que c'est plus petit et me rappeler que pendant que nous
‫faisons cela, si vous pensez à vous aussi, il se peut que j'aie 100
‫conteneurs en cours d'exécution.
‫N'oubliez pas qu'en supposant qu'ils utilisent tous la même couche de base, cette couche ne prend qu'une seule fois
‫sur le système d'offre.
‫Tant que vous gardez votre image propre en l'élagant automatiquement, vous devez vous assurer que la plupart de vos applications que vous exécutez se trouvent dans
‫une ou deux versions des images de base, afin que vous ne l'utilisiez pas. N'ayant pas toutes
‫les versions sur le serveur, vous n'allez pas prendre beaucoup de place avec ce genre
‫de choses.
‫Très bien, regardons expérimental.
‫C'est en fait plus grand.
‫C'est une déception.
‫Il me semble me rappeler à un moment donné l’année dernière que j'avais lu un article sur une aubaine et que Debian
‫avait opté pour quelque chose. Ils ont leur propre slim.
‫Il en découle certainement beaucoup plus, mais vous pourriez vous demander comment ces choses deviennent plus petites.
‫Ce n'est pas parce qu'ils les compressent ou les compressent, mais plutôt qu'ils ne font que
‫sortir des outils qui ne sont pas essentiels ou des bibliothèques qui ne sont plus nécessaires
‫pour ces outils essentiels.
‫Et c'est pourquoi des choses comme P. S. et payant et les utilitaires de noyau et autres disparaissent de
‫ces images.
‫Alors, méfiez-vous de tout ça.
‫Donc, je pense que la discussion est excellente et j'ai hâte d'entendre vos commentaires
‫et de lire vos commentaires à ce sujet.
‫En fait, je prévois des mises à jour de quelques-uns de mes cours pour en parler et donner un peu plus d’informations
‫sur Alpine et pourquoi, quand et pourquoi vous voudrez peut-être le choisir plutôt que sur une version différente de l’image de base, car c’est un
‫bon discussion et il y a évidemment beaucoup à dire de beaucoup de raisons différentes pour
‫choisir une image de base plutôt qu'une autre.