Início / user-240508

Vad1mo's questions

Martin Hope
Vad1mo
Asked: 2016-10-04 08:03:41 +0800 CST
  • 9

Eu tenho a seguinte configuração de contêiner.

Em um servidor bare metal, dois Docker Daemons são instalados e executados.

  1. Main Docker Daemon Executa meus contêineres de aplicativos expondo 80/443 para o mundo externo.
  2. Plugin Docker Daemon Executa alguns contêineres fornecidos pelo cliente que se comunicam com meu aplicativo via 80/443.

Gostaria de dar ao cliente acesso à API (2376) do Plugin Docker Daemon para que o cliente possa implantar/iniciar/interromper seus próprios contêineres. O cliente só terá acesso à API e não ao Host (SSH).

O problema que enfrento atualmente é: e se os clientes executarem um contêiner que faça algo inseguro como docker run -v /:/host/root Ubuntu rm -rf /host/root.

Minha pergunta é o que posso fazer para impedir que o Plugin Docker Daemon monte root /ou qualquer outro diretório externo /home/user/,

  • É uma opção iniciar o Docker Daemon /home/user/?
  • Posso usar alguma magia LSM (Linux Security Modules SELinux/Apparmor) para impedir que o daemon do docker monte alguns ou todos os caminhos de host, exceto usuários home ou var/docker/libs?
  • Pode --userns-remapme ajudar a atingir meu objetivo?
  • Há outras opções disponíveis, exceto VMs?

O servidor pertence inteiramente a um único cliente. Portanto, segurança ou vazamento de dados não é minha principal preocupação. O que eu realmente quero evitar é que alguém no Plugin Daemon esteja fazendo algo estúpido, que influencie meus contêineres que rodam no Main Docker Daemon . Eu gostaria de me manter enxuto e manter o fluxo de trabalho apenas do docker e não vou configurar um fluxo de trabalho extra para a criação de VM.

linux chroot docker selinux apparmor
Martin Hope
Vad1mo
Asked: 2015-02-03 02:32:07 +0800 CST
  • 3

Estou trabalhando com a linha de comando executando os mesmos comandos várias vezes manualmente seguindo o mesmo padrão. Agora estou procurando uma maneira de simplificá-lo digitando o comando apenas uma vez.

Vamos dar uma olhada em um exemplo normal do docker:

docker ps
docker ps -a
docker ps -l
docker stop x 
docker start x 
docker start y 
docker logs y
docker logs -f z

Este exemplo também se aplica a muitos outros comandos, como git, brew, gulp, gcloud.

Agora estou procurando por algum tipo de shell wrapper de comando, que me permita escrever with dockerque envolva qualquer comando em um shell aninhado/sub.

Então não preciso preceder o dockercomando e apenas chamar:

>ps
# does docker ps and displays result 
>stop x
# prepends docker so docker stop x is actually executed   
CTRL+C # to exit the command wrapper

Já existe algo assim? Eu estava pesquisando por isso, mas não consegui descrevê-lo corretamente, portanto, não encontrei nada.

linux