‫W porządku.
‫Więc coś, o czym chciałem porozmawiać w tym tygodniu i chciałbym usłyszeć wasze przemyślenia na ten temat w komentarzach, niezależnie od tego,
‫czy to robicie, czy też jesteście zaniepokojeni, to drobne rzeczy, które dr. kapitanowie, o których mówimy na naszym
‫wybranym czacie kilka tygodni temu, myślę, że mógł być nawet w zeszłym
‫tygodniu lub tydzień wcześniej, ale chodziło raczej o niektóre artykuły, które ukazały się, a
‫konkretnie kilka miesięcy temu trzy lub cztery miesiące temu wokół skanowania zabezpieczeń kontenerów,
‫a tak naprawdę oznacza to obrazy, które robisz wewnątrz Dockera, które są elementami składowymi twoich kontenerów.
‫Są to również miejsca dla Twojej aplikacji jako zależności.
‫Zaletą tego obrazu jest to, że staje się on teraz naprawdę doskonałym miejscem do skanowania w poszukiwaniu
‫znanych luk lub potencjalnych wad bezpieczeństwa w kodzie, aplikacjach i zależnościach.
‫Nazywamy to skanowaniem kontenerów lub skanowaniem obrazów.
‫W branży istnieje inna terminologia, ale dostępnych jest wiele skanerów i jest ich więcej niż
‫kilka.
‫I wszyscy mają wady i zalety, a jeśli to brzmi znajomo.
‫Jest to bardzo podobne do starych wojen antywirusowych, w których mieliśmy różne skanery
‫antywirusowe, które wykrywały różne rzeczy.
‫Ale obecnie przy skanowaniu kontenerów ten, o którym zwykle mówimy najpierw, korzysta z otwartej bazy
‫danych znanych.
‫To jest słowo kluczowe znane są luki w oprogramowaniu typu open source, głównie oprogramowanie typu open source, ale nie jest ono
‫wyłączne dla oprogramowania typu open source.
‫Zdarza się, że jest to głównie oprogramowanie typu open source, ponieważ tam zwykle znajdujemy błędy,
‫ponieważ widzimy źródło.
‫Skończyliśmy jako przemysł zastanawiający się, gdzie problemy są szybsze.
‫Dzięki temu baza danych znanych luk jest aktualizowana przez cały czas.
‫Są więc skanery, niektóre za darmo, a niektóre nie skanują twojego obrazu i jego zależności.
‫Więc nie tylko Twoja aplikacja, ale także dowolna aplikacja do uzyskiwania zainstalowanych zależności, znasz takie rzeczy, jak Open
‫SSL, a nawet zwijają się, jeśli istnieje luka w zabezpieczeniach i masz to w obrazie kontenera.
‫Te skanery mają pomóc ci znaleźć te luki, abyś mógł je zaktualizować
‫i, mam nadzieję, zastosować poprawkę, i pojawiła się interesująca rozmowa na temat artykułu tego faceta Stevena, a wokół nich wszystkie skanery
‫mają różne zalety i wady, które niektórzy wykryją problemy niektóre wykrywają inne problemy
‫i być może nie wszystkie te same technologie.
‫Ale na koniec dnia jedną z rzeczy w Linuksie, na których tak naprawdę polegają, jest system operacyjny lub w tym przypadku podstawowy obraz,
‫taki jak ty, który sprzyjasz Debianowi S. O. S.
‫Takie alpejskie rzeczy.
‫Te różne obrazy podstawowe często muszą tłumaczyć, gdzie znajdują się pliki w systemie, i do jakiego programu te pliki
‫się odnoszą, być może podobnie jak biblioteki Open Source Open SSL do zapewniania SSL Twoim serwerom internetowym.
‫Tak więc pliki te będą istniały w systemie operacyjnym gdzieś na ścieżce plików i
‫wszystkie będą się razem tworzyć w pakiecie, i że ci dostawcy muszą dostarczyć skanery w zasadzie tłumaczenie, aby dowiedzieć
‫się, gdzie skanery znajdują miejsce, w którym znajdują się pakiety.
‫DOBRZE.
‫To jest tło.
‫I okazuje się, że nie wszystkie dystrybucje systemu operacyjnego Linux zapewniają tę funkcjonalność i nie wszystkie zapewniają ją tak
‫dobrze, jak inne.
‫Może to powodować problemy, jeśli zamierzasz skanować w poszukiwaniu luk.
‫Innymi słowy, twój podstawowy obraz, czy to Ubuntu czy S. O. S lub Red Hat lub
‫alpine, które teraz mają znaczenie, ponieważ możesz skanować kompletną bazę danych znanych luk w tym obrazie.
‫W porządku i jeden interesujący punkt, który moim zdaniem przyszedł do tego poprzez ten
‫artykuł, a swoją drogą dodam ten artykuł do czatu na żywo.
‫Możesz to sprawdzić.
‫Ciekawą kwestią, o której tu mówiono, jest to, że tutaj, na dole, mówi się o problemie
‫alpejskim, który moim zdaniem jest dość interesującą dyskusją wokół nas, jako producentów pojemników.
‫Może ktoś, kto produkuje kontenery lub przynajmniej jest zainteresowany produkcją kontenerów.
‫A jeśli sprawisz, że te obrazy są jednym z twoich problemów, bezpieczeństwo i ochrona często wiedzą, że staramy się zsumować
‫wszystko, co jest bezpieczne, lub zrobiliśmy to, a to naprawdę nie jest
‫właściwe.
‫My wszyscy.
‫Jeśli jesteś tam wystarczająco długo, wiesz, że bezpieczeństwo to wiele rzeczy i nie ma czegoś takiego
‫jak naprawdę bezpieczne.
‫Dobrze.
‫Może zawsze żartujemy, że najbezpieczniejszym systemem jest ten, który jest wyłączony.
‫Więc kiedy mówisz o swoim oprogramowaniu, jest wiele rzeczy do rozważenia, a Alpine to naprawdę świetna dystrybucja,
‫która zapewnia podstawowy obraz Alpine Linux, a jedną z najlepszych jego części jest to, że jest bardzo bardzo
‫minimalna, jest bardzo mała w około 5 Meg, która jest szalona mała w porównaniu do czegoś takiego jak
‫dobrodziejstwo dla lub S. O. S.
‫Teraz możesz to porównać w pełnym systemie operacyjnym, ponieważ tak naprawdę mówimy tutaj o
‫samych obrazach, że obraz kontenera nie jest twoim systemem operacyjnym.
‫Nie chcę rozmawiać o systemie operacyjnym hosta. Naprawdę chcę po prostu porozmawiać o twoich podstawowych obrazach dla
‫twoich pojemników, ponieważ to, co widzę w branży i uwielbiamy rozmawiać o tym w Internecie,
‫jest fajną modną rzeczą, którą Zeit Geist naszej społeczności przyłapali się na tym i myślę, że
‫w ciągu ostatnich kilku lat popularność Alpine bardzo wzrosła dzięki temu, że ma tak mały wizerunek pojemników,
‫więc to dobrze.
‫A jeśli wiesz, że już to zrobiłem, ale jeśli przejdę do Google, znasz bezpieczny obraz bazy Docker, jeśli zaczniesz się tam rozglądać, jeśli tylko szukam
‫słowa Alpine, nie pojawia się ono na tej stronie.
‫To był błąd Google, ale spodziewałbym się, że ludzie będą rozmawiać o Alpine, ponieważ wiele
‫firm lubi polecać Alpine jako sposób na uzyskanie automatycznego bezpieczeństwa lub lepszego zabezpieczenia od razu po wyjęciu
‫z pudełka.
‫A powodem, dla którego się o to kłócimy, jest niewielka.
‫Jeśli więc jest mniejszy, oznacza to mniej plików, mniejsze potencjalne luki w zabezpieczeniach, mniej elementów do przypięcia w celu
‫potencjalnej łatki.
‫Dobrze.
‫I robiliśmy to od dziesięcioleci w Windows 2000 era 2008.
‫Pamiętam, kiedy pojawił się Windows 2008, Microsoft miał nową wersję o nazwie core, która była mniejszą wersją systemu
‫Windows Server.
‫W tym czasie jednym z największych argumentów było lepsze bezpieczeństwo dzięki mniejszej liczbie łatek.
‫Jeśli więc teoretycznie masz mniej oprogramowania na komputerze, nie musisz się martwić o
‫łatanie i potencjalne luki w zabezpieczeniach.
‫Tak jest w przypadku naszego Pyne, który jest jednym z powodów, dla których twierdzą, że są bezpieczniejsi, ale przestrzeń
‫nie zawsze jest najważniejszym czynnikiem jako operator, ponieważ ktoś, kto utrzymuje serwery na całe życie, nie
‫uważam tej przestrzeni za tani.
‫Wiesz 100 megabajtów tego miejsca, nawet jeśli pięć razy to dla mnie w porządku, nie muszę oszczędzać pięciuset megabajtów
‫miejsca na moich serwerach.
‫To, co zwykle wiesz, nie tworzy kopii zapasowych pełnych systemów operacyjnych, na których zazwyczaj skupiasz się na tworzeniu kopii zapasowych
‫aplikacji, szczególnie teraz w chmurze, w której nie wykonujemy kopii zapasowych serwerów opartych na obrazach, jeśli to było
‫coś, w co kiedykolwiek byłeś.
‫W dawnych czasach, gdy wykonywano kopie zapasowe pełnego obrazu, więc wiele naszych kopii zapasowych to tylko
‫cały system operacyjny w kółko.
‫Cóż, nie robimy tego tak często, jak sądzę, jako przemysł, szczególnie w chmurze, i myślę, że kiedy mówimy
‫o obrazach i rozmiarze, nie jest to nawet jeden z moich trzech głównych czynników, jeśli chodzi o obraz
‫i jego jakość.
‫Więc kiedy patrzę na obraz i potencjalne obawy związane z bezpieczeństwem, czy cokolwiek innego, lub po prostu użycie obrazu,
‫niezależnie od tego, czy jest to koncert, czy 20 megabajtów na koniec dnia, nie jestem tak bardzo zaniepokojony, muszę
‫po prostu to zaplanować, ponieważ ostatecznie może to koszt przechowywania, ale ten koszt jest jedną z najtańszych rzeczy na
‫mojej liście kosztów.
‫Ludzie są najdroższą rzeczą, a następnie inne rzeczy, takie jak moc obliczeniowa w kontekście sieci pamięci
‫CPE, są dla mnie zawsze droższe niż dysk.
‫Więc nie polecam ludziom, aby zrobili Alpine z bramy.
‫W rzeczywistości, jeśli kiedykolwiek widziałeś, jak rozmawiam o produkcji Dockera, wiesz, że jedną z
‫rzeczy, o których mówię, jest trzymanie się tego, co wiesz, trzymanie się Debiana przy pomocy
‫Ubuntu z wysyłanym systemem operacyjnym pozostań z tymi obrazami, jeśli tego właśnie używasz ponieważ Alpine jest inny,
‫ma innego menedżera pakietów, różne lokalizacje plików, więc będziesz musiał zmienić wiele aplikacji,
‫aby korzystać z Alpine, a w większości przypadków teraz, jeśli używasz go a może brak J lub coś, czego prawdopodobnie
‫nie musisz wiele zmieniać.
‫Ale nawet ostatnio widziałem tylko w zeszłym roku, a zwłaszcza w ciągu ostatnich trzech miesięcy widziałem
‫wiele innych wskaźników wskazujących, dlaczego być może nie powinieneś używać Alpine jako podstawowego obrazu, a tak naprawdę nie chodzi o rzucanie
‫cienia na Alpine i powiedzenie, które źle przedstawia.
‫Chodzi o to, czy naprawdę potrzebujemy dodatkowej pracy związanej z wdrożeniem Alpine tylko ze względu na większe bezpieczeństwo i
‫mniejsze obrazy, więc może nie będę tego argumentować, nie sądzę, żeby to było konieczne i jeśli
‫weźmiemy pod uwagę ten nowy rodzaj dyskusji na temat problemu alpejskiego w tym artykule na blogu jest powiedzenie, że alpine w tej
‫chwili może nie jest najlepszym miejscem, ponieważ skanowanie w poszukiwaniu znanych luk w zabezpieczeniach
‫w znanej bazie danych CV jest bardzo trudne, jeśli nie niemożliwe. faktycznie robisz to jeszcze z alpine, którą
‫ty i możesz to zrobić za pomocą innych, które dasz sobie
‫radę z takimi rzeczami Debian Red Hat.
‫Więc jeśli używasz skanera bezpieczeństwa, Alpine jest dla ciebie złą rzeczą.
‫Inną rzeczą, którą ostatnio zauważyłem, jest to, że alpejska czasami ma podstępne problemy, które częściowo się do ciebie wkradają
‫i w sposób, którego nie spodziewałbyś się.
‫Niedawno niektórzy uczniowie powiedzieli mi, że próba skłonienia Alpine do pracy z węzłem Mohna zna
‫problemy.
‫I zrobiłem.
‫Nie wiedziałem o tym.
‫Nie testowałem tego, ale ludzie wrócili do mnie i powiedzieli, że używają Alpine bez swojego J. S. Węzeł mój i
‫Węzeł minus coś i nie JS służy do monitorowania plików do automatycznego restartowania aplikacji
‫węzła przy każdej zmianie plików.
‫To jest bardzo dobre dla rozwoju, ale najwyraźniej mieli problemy z alpine, kiedy nie
‫mieliby problemów z Ubuntu i Debianem, a ja tylko o tym wspominam, ponieważ jest to ważny czynnik,
‫który należy wziąć pod uwagę, kiedy zamierzasz wdrożyć nowy obraz podstawowy.
‫Więc wielu ludzi przychodzi do mnie i mówi, co sądzisz o Alpine, gdybym wszystko zmienił
‫na Alpine.
‫Czy powinienem zrobić wszystkie moje zdjęcia, które buduję na Debianie, są odporne na lub S. O. S czy coś innego.
‫I czy powinienem przenieść te wszystkie do Alpine, ponieważ słyszę, że jest mniejszy
‫i bezpieczniejszy, a ja i moja szczera odpowiedź w dzisiejszych czasach jest bardziej skomplikowana i prawdopodobnie powinieneś to
‫rozważyć, ale może po prostu nie lubisz trzymać się tego, czym jesteś dobry i wiesz, że skanery
‫działają od lat, prawdopodobnie możesz użyć domyślnych obrazów, ponieważ wszystkie oficjalne obrazy, które są domyślne z Dockera, takie
‫jak spójrzmy na węzeł 1.
‫Więc brak domyślnych obrazów domyślnie korzysta z Debiana pod spodem, który jest nieco większy, może o 80 Meg
‫większy niż obraz Alpine, ale o 80 Meg.
‫Chodzi mi o to, że nie jest to dla mnie duży czynnik motywujący, chyba że
‫jestem na jakimś znanym urządzeniu IO T, może coś takiego.
‫Wiesz na krawędzi lub coś, w czym mam naprawdę małe dyski flash lub coś, co może
‫być problemem.
‫Ale jeśli spojrzysz na domyślne obrazy, jeśli nie zdajesz sobie z tego sprawy
‫w tle, wszystkie te domyślne obrazy wiesz, jeśli po prostu wpiszesz Docker Run Node, Ducker lub uruchom moją kontynuację.
‫Wszystkie będą domyślnie działały na Debianie, ponieważ właśnie tak Docker je budował, aby
‫zacząć sześć lat temu.
‫Ale wszystkie z nich mają teraz opcje alpejskie.
‫Więc może powiesz mój dwukropek Alpine i użyjesz tagu dla Alpine i to w porządku, ale to nie znaczy,
‫że automatycznie dostajesz lepsze wrażenia przez cały czas.
‫Nie wszystkie pakiety są nawet dostępne w menedżerze pakietów Alpine.
‫W rzeczywistości na własne potrzeby muszę zachować narzędzia bezpieczeństwa lub inne narzędzia, które niektóre z nich działają w Alpine,
‫a niektóre po prostu nie.
‫I szczerze mówiąc, nie chcę iść i ręcznie wymyślić, jak je zbudować, ponieważ się nie budują
‫i nadal nie chcę tego rozwiązywać z powodu różnych bibliotek.
‫Więc zostawiam Debiana dla większości moich narzędzi i używam innych przez Alpine.
‫I na koniec dnia wiem, że prawie wszystko będzie działało na Debianie od
‫razu po wyjęciu z pudełka, ponieważ aplikacja do zdobycia menedżera pakietów lub apt apt manager jest trochę jak król
‫menedżera pakietów.
‫Jeśli jest coś dla czegoś, prawdopodobnie będzie to trafne.
‫Dobrze.
‫Możesz nie widzieć czegoś w Yum.
‫Być może nie zobaczysz tego w menedżerze pakietów Pyne, ale zawsze będzie
‫to trafne i zawiera Debian i Ubuntu oraz inne warianty tych podstawowych obrazów.
‫Więc kiedy myślisz o obrazach i podsumowaniu, gdy myślisz o obrazach i
‫chcesz zbudować swoje obrazy podstawowe, bezpieczeństwo jest zdecydowanie czynnikiem.
‫Ale jednym z tych, jeśli naprawdę martwisz się o bezpieczeństwo, będziesz chciał zeskanować swoje obrazy.
‫Więc jeśli chcesz to zrobić, alpejska może być dla ciebie wadą.
‫W takim razie zdecydowanie przeczytaj ten artykuł, ponieważ zwymiotowałem go w tekście.
‫Inną kwestią jest to, czy korzyść z przestrzeni naprawdę ma dla Ciebie znaczenie.
‫Wiesz, jeśli tracisz trochę na potencjalnym bezpieczeństwie i twój rozmiar obrazu nie ma tak wielkiego
‫znaczenia, szczególnie jeśli jesteś kimś, kto zna 800 lub 900 zdjęć mag, które są wspólne, gdy
‫masz do czynienia z takimi rzeczami jak Java lub HP i takie tam.
‫Są to zwykle bardzo duże obrazy w porównaniu do 80 megapikseli lub pięciu megapikseli.
‫Pomyśl o tym trochę.
‫Nie tylko automatycznie przełączaj wszystkie swoje rzeczy, ponieważ słyszałeś, że kontur jest bezpieczniejszy.
‫Oczywiście Alpine ma wiele innych zalet w zakresie bezpieczeństwa, ponieważ jest mały.
‫Ma bardzo mało potencjalnych luk w zabezpieczeniach, ale ma luki, prawda, nie jest
‫odporny na luki w oprogramowaniu, może po prostu mniej.
‫Ubuntu i Debian.
‫Ostatnią rzeczą, którą powiem na ten temat, jest to, że jeśli nie spojrzałeś na inną z obrazów takich jak
‫Ubuntu i Debian, obrazy te stają się z czasem coraz mniejsze i pokażę ci na przykład.
‫W rzeczywistości jest to mój mały wkurzony zwierzak, ponieważ rzeczy są wyciągane z tych
‫obrazów i nowych wersji, które były w starych obrazach i które mogą faktycznie powodować problemy w twoim oprogramowaniu.
‫Na przykład konfiguracja płatności lub IP, a może nawet polecenie P S.
‫Rzeczy, które były na obrazie lata temu, do których byłeś przyzwyczajony, mogą już nie być w tych domyślnych obrazach
‫w bieżących wersjach i może to być trochę problem, jeśli zakładasz, że
‫zawsze tam będą.
‫Więc w dzisiejszych czasach mam w zwyczaju, nawet jeśli używam dobrodziejstwa, aby obrazować po wyjęciu z
‫pudełka, może używam domyślnych obrazów, które używają Debiana.
‫Przejdę również przez wykonanie apt get instalacji nawet takich rzeczy, jak znasz polecenie PS do listowania procesów lub curl lub cokolwiek, co
‫może być potrzebne do zapłaty lub coś takiego, a to po to, aby upewnić się, że w
‫przyszłych wersjach, jeśli kiedykolwiek wezmą te rzeczy zawsze będę mieć je na swoim obrazie,
‫ponieważ zrobiłem niestandardowy obraz instalując je.
‫Więc jeśli zrobię tutaj zdjęcie Dockera L S, nie mam oczyszczonej maszyny, więc nie mam.
‫Właściwie mam tu tylko
‫parę, więc jeśli zrobię zdjęcie Dockera, zróbmy
‫Ubuntu, a potem zróbmy debiut, a potem zróbmy Alpine,
‫ponieważ te liczby ciągle się zmieniają.
‫Nie jestem do końca pewien, jakie są najczęstsze liczby, jaki jest obecny stan, więc zróbmy jeszcze
‫raz ten obraz Dockera i.
‫Racja, więc Alpine ma pięć i pół mega dość szalonego racja.
‫Jeśli rozumiesz, dlaczego tak naprawdę jest całkiem fajnie, jak budują statyczne pliki binarne i łączą
‫pliki binarne, więc nie jest to tak małe.
‫Jeśli spojrzysz na Ubuntu, dar
‫przed trzema laty wynosił prawdopodobnie sto dwadzieścia Meg.
‫Przynajmniej sto trzydzieści Meg.
‫A teraz jest już osiemdziesiąt siedem, a obecna wersja Debiana to 1 do 1.
‫Co jest dziwne, ponieważ normalnie można by pomyśleć, że dobrodziejstwo jest zwykle większe niż Debian i
‫nie jestem pewien, czy to się zmieni w następnym wydaniu Debiana.
‫Ktoś na czacie prawdopodobnie zna tę odpowiedź
‫szybciej
‫niż ja, ale
‫myślę, że może być wersja C eksperymentalna, może zbyt eksperymentalna.
‫Po prostu zgadnę, że jest mniejszy i pamiętam, gdy robimy
‫to, że jeśli myślisz o sobie, mogę mieć uruchomionych
‫100set pojemników.
‫Pamiętaj, że zakładając, że wszyscy używają tej samej warstwy podstawowej, ta warstwa zajmuje tylko jeden raz
‫w systemie oferującym.
‫Tak długo, jak utrzymujesz swój obraz w czystości przez automatyczne przycinanie, tak długo, jak robisz takie rzeczy, jak upewnianie się, że większość aplikacji,
‫które uruchamiasz, znajduje się w jednej lub dwóch wersjach obrazów podstawowych, abyś nie był nie
‫masz wszystkich wersji na serwerze, więc nie będziesz zajmować dużo miejsca z tymi
‫rzeczami, prawda.
‫Dobra, spójrzmy na eksperymentalne.
‫Jest właściwie większy.
‫To jest szaleństwo.
‫Wydaje mi się, że w pewnym momencie ubiegłego roku czytałem o dobrodziejstwie dla Debiana i przeprowadzce do czegoś, a
‫oni mają swoją szczupłą sylwetkę, jest coś nieco innego.
‫Zdecydowanie trzyma się z daleka, ale możesz się zastanawiać, jak te rzeczy stają się mniejsze.
‫Nie dzieje się tak dlatego, że kompresują je lub kompresują, tylko wyciągają narzędzia,
‫które nie są niezbędne, lub biblioteki, które nie są już potrzebne dla
‫tych podstawowych narzędzi.
‫I dlatego takie rzeczy jak P. S. a płatność, jądro i inne narzędzia znikają z tych
‫obrazów.
‫Więc uważaj na to w porządku.
‫Myślę więc, że to świetna dyskusja i czekam na Wasze komentarze i
‫przeczytanie waszych komentarzy na ten temat.
‫Właściwie planuję aktualizację kilku moich kursów, aby porozmawiać o tym i podać trochę więcej informacji
‫na temat Alpine oraz dlaczego i kiedy warto wybrać inną wersję obrazu podstawowego, ponieważ jest to dobra
‫dyskusja i oczywiście jest wiele do omówienia z wielu różnych powodów
‫wyboru obrazu podstawowego zamiast innego.