‫Il primo è fondamentalmente fare qualche lettura.
‫Come questa parte superiore è intorno a darti l'educazione di base di
‫ciò che ... come
‫funziona Docker? Che cos'è la sicurezza di base in Docker?
‫In che modo Docker protegge anche il
‫tuo contenitore? Quel genere di cose.
‫Fondamentalmente ho un discorso sulla produzione che puoi vedere
‫qui. Non lo guarderemo ora.
‫Ho un link qui alla guida alla sicurezza di Docker.
‫Ora, la cosa interessante della guida alla sicurezza di Docker qui
‫è che funziona
‫davvero solo come funziona la sicurezza di Docker?
‫Oppure, come funziona Docker stesso?
‫Ci sono video migliori nel mio corso.
‫Ho messo i collegamenti lì dentro ad altri video di riferimento che sono
‫un'ora intera circa le basi di Docker.
‫Le due cose principali di cui devi preoccuparti sono gli spazi dei nomi
‫del kernel e i Cgroups.
‫Namespace, passano attraverso una bella
‫panoramica di come funziona questa roba.
‫Il riassunto qui è che ci sono
‫due caratteristiche principali in Linux che consentono a Docker di
‫essere persino possibile. Gli spazi dei nomi del
‫kernel sono un modo per il kernel di prendere
‫un'applicazione, o un insieme di applicazioni, e di spaziarli.
‫Lo spazio dei nomi sta essenzialmente limitando
‫la loro visione, il loro accesso a qualsiasi
‫risorsa, o ciò che vedono, sia che si tratti
‫di rete, altri programmi in memoria o file su disco, che limita
‫tale ambito per programma.
‫Quindi, può essere per ogni singolo programma e ora
‫li conosciamo come contenitori. Perché gli spazi dei
‫nomi non sono specifici di Docker. È stato molto più lungo di
‫quanto sia stato Docker. È stato in realtà
‫un concetto in diverse distribuzioni Unix per oltre un decennio.
‫Potremmo averlo sentito in Solaris Jails o in altri tipi di
‫tecnologie che essenzialmente ti hanno fatto
‫pensare di essere sul tuo
‫server, ma in realtà, eri contenuto in
‫un server con molte altre persone e molte
‫altre app, giusto. Lo abbiamo fatto molto su Linux
‫e piattaforme di hosting.
‫Namespace è quella caratteristica. Dà al tuo
‫contenitore la sua scheda NIC. È una scheda di rete virtuale solo per quel contenitore.
‫Gli dà il proprio spazio file
‫dove non vede il resto del seguente file system
‫e non gli permette di vedere altri programmi in esecuzione al
‫di fuori di quel contenitore. Quindi, si tratta del suo accesso e vista, giusto.
‫Sono spazi dei nomi.
‫Funziona appena pronto.
‫Ecco come Docker fa funzionare un container senza vedere tutto
‫il resto sul sistema.
‫L'altra cosa importante sono i gruppi di controllo,
‫o in breve li chiamiamo Cgroups. I gruppi di
‫controllo riguardano principalmente la limitazione dell'utilizzo delle risorse.
‫Puoi dire a un contenitore che ha accesso solo a 1 GB
‫di RAM, una CPU, quel genere di cose.
‫Inoltre consente alcune metriche in cui è possibile misurare le
‫cose intorno a quella roba, ma si tratta
‫principalmente di limitare il proprio contenitore. Ricorda, i tuoi contenitori, per
‫impostazione predefinita, possono avere accesso a tutte le risorse in quanto possono occupare
‫tutto lo spazio dei file, possono occupare tutte le
‫CPU e possono consumare tutta la memoria.
‫Questo è solo un contenitore standard, ma puoi impostare
‫le opzioni in modalità docker o in Swarm
‫o Kubernetes. Tutte queste cose hanno la capacità
‫di controllare le risorse.
‫Ma non è solo per impostazione predefinita, giusto. Per impostazione predefinita, qualsiasi
‫contenitore ottiene tutto.
‫Quando vai in produzione, questo è sicuramente nella tua lista
‫di cose da fare. Non direi che
‫i gruppi di controllo sono necessariamente una funzionalità di sicurezza tranne
‫che per una particolare applicazione che occupa tutto ciò
‫che non dovrebbe, e quindi rende altre
‫cose impossibili da eseguire, giusto.
‫Questo non è... Non lo considero una sicurezza diretta.
‫Lo guardo come una sorta di semi-correlato alla sicurezza, in
‫cui qualcuno potrebbe tecnicamente fare una negazione del servizio lasciando
‫che la tua app consumi tutte le
‫risorse sul tuo server. Quindi, sai, quel genere di cose.
‫Queste sono le basi.
‫Una volta comprese le basi, ci sono un
‫paio di buoni articoli sul blog qui su diversi tipi
‫di strumenti di sicurezza. Ci sono tonnellate di
‫strumenti, giusto. Oggi non parlerò di tutti.
‫Ovviamente, ci sono molte cose là fuori, ma
‫molte sono complicate e prendono progetti.
‫Devi implementarli o acquistarli, quindi dedicare server per
‫loro, giusto.
‫Grandi prodotti relativi all'auditing o al passaggio di determinate credenziali
‫come la sicurezza di una carta di credito
‫PCI o la sicurezza delle normative governative,
‫quel genere di cose.