DDR爱好者之家

生产环境中安全运行Docker容器
站长资源 2024/11/24 佚名
60 1538
DDR爱好者之家 Design By 杰米

在生产环境中，强化Docker容器的一种方法就是使它们不可变，也就是只读。安全地运行容器的其他方法还包括最小化受攻击面和应用Linux安全过程，标准Linux安全过程和针对容器环境的特定过程都要应用。

在启动容器时传入--read-only标记就可以 在只读模式下运行 它。这可以防止任何进程写入文件系统。任何试图写入的动作都会导致错误。 运行这种不可变的基础设施 也与其他软件部署流水线的最佳实践相吻合。

尽管不可变性可以阻止任何恶意脚本的执行，可以禁止通过在容器里运行的其他软件暴露出来的漏洞而引起的改动。但是在现实生产环境中，这种模式又是不是适用于应用程序呢？比如，要产生的日志文件和要使用数据库的应用程序就需要可写性。

写日志的一个可能的解决方案可以是使用一个集中的日志系统，比如Elasticsearch/Logstash/Kibana（ELK），这样所有的日志都被收集在一个中心节点，可能是在另一个容器中，就不是用户可以直接访问的了。另一种替代的方案是在启动容器时，通过使用--log-driver标记将日志导出到容器之外。对于那些需要对/tmp之类的临时目录有写入权限的应用程序，一种解决办法是在容器里为这些目录 加载一个临时的文件系统 。

终端用户不能直接访问数据库，所以风险较低。然而，这并不排除受到攻击的可能，除非面对用户的应用程序得到了强化。

在不可避免地要有一个可写的文件系统的情况下，Docker提供了审计和变化的回滚功能。在Docker容器里的文件系统是作为一系列层的堆叠。当创建一个新容器时，将在顶部添加一个新层，该层可以写入。Docker存储驱动程序隐藏了这些细节，并将它作为一个普通的文件系统交付给用户。对正在运行的容器的写入将写入此新层。这通常被称为写时拷贝（Copy-On-Write，COW）。

在Docker容器里很容易检测到配置漂移或预期的配置变更。“docker diff”命令可以显示对文件系统的更改——无论更改操作是文件添加、删除还是修改。

除了在可能的情况下运行一个只读容器，我们 还 提出以下 建议 ，以确保在生产环境中容器的安全：

  • 运行一个 Alpine Linux 之类的最小的镜像，Alpine Linux是基于安全思想而设计的。它的内核上打了一个grsecurity的非官方移植的补丁。 Grsecurity 是一套对Linux内核的安全增强方法，它包括权限控制以及消除基于漏洞的内存崩溃的可能，具体方法是将那些使系统可能被攻击的方法减少到最少。
  • 限制对CPU、RAM等资源的使用，以防止DoS攻击。
  • 在操作系统中配置线程和进程限制。
  • 采用sysctl之类标准的Linux内核强化程序。
  • 每个容器中只运行一个应用程序。建议这么做，是因为它减小了受攻击面，即对于一个给定的容器，可能的漏洞数量就只取决于在该容器上运行的应用程序了。
DDR爱好者之家 Design By 杰米
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
DDR爱好者之家 Design By 杰米
ddrfans.com DDR爱好者之家
8,675无损音乐
1,324高清电影
213破解软件
70,141收录资讯

《魔兽世界》大逃杀！60人新游玩模式《强袭风暴》3月21日上线

暴雪近日发布了《魔兽世界》10.2.6 更新内容，新游玩模式《强袭风暴》即将于3月21 日在亚服上线，届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。

艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕，并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时，他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中，玩家将会进入一个全新的海盗主题大逃杀式限时活动，其中包含极高的风险和史诗级的奖励。

《强袭风暴》不是普通的战场，作为一个独立于主游戏之外的活动，玩家可以用大逃杀的风格来体验《魔兽世界》，不分职业、不分装备（除了你在赛局中捡到的），光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式，玩家在加入海盗主题的预赛大厅区域前，可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹，《巨龙崛起》和《魔兽世界：巫妖王之怒 经典版》的玩家都可以获得奖励。

更新日志

友情链接

杰晶网络 DDR爱好者之家 南强小屋 黑松山资源网 白云城资源网
DDR爱好者之家 Design By 杰米