സാധാരണ ഡോക്കർ, കുബർനെറ്റസ് ഇൻസ്റ്റാളേഷനുകളുടെ (കാണാതായ) സുരക്ഷ പര്യവേക്ഷണം ചെയ്യുന്നു

ഞാൻ 20 വർഷത്തിലേറെയായി ഐടി മേഖലയിൽ ജോലി ചെയ്യുന്നു, പക്ഷേ കണ്ടെയ്‌നറുകളുമായി ഒരിക്കലും ഇടപഴകാൻ എനിക്ക് കഴിഞ്ഞിട്ടില്ല. സിദ്ധാന്തത്തിൽ, അവ എങ്ങനെ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നുവെന്നും അവ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും എനിക്ക് മനസ്സിലായി. എന്നാൽ പ്രായോഗികമായി ഞാൻ ഒരിക്കലും അവയെ നേരിട്ടിട്ടില്ലാത്തതിനാൽ, ഗിയറുകൾ ഹുഡിനടിയിൽ എങ്ങനെ മാറിയെന്ന് എനിക്ക് കൃത്യമായി അറിയില്ലായിരുന്നു.

മാത്രമല്ല, അവർ സുരക്ഷ എങ്ങനെ കൈകാര്യം ചെയ്തുവെന്ന് എനിക്കറിയില്ലായിരുന്നു. പക്ഷേ, വീണ്ടും, സിദ്ധാന്തം മികച്ചതായി തോന്നുന്നു, "സുരക്ഷ വർദ്ധിക്കുന്നതിനനുസരിച്ച് ഉപയോഗക്ഷമത കുറയുന്നു" എന്ന പഴയ പല്ലവി എന്റെ തലയിൽ കുടുങ്ങി. അതിനാൽ കണ്ടെയ്‌നറുകളിൽ എല്ലാം വളരെ എളുപ്പമായതിനാൽ, സുരക്ഷ വളരെ മികച്ചതായിരിക്കണമെന്ന് ഞാൻ കരുതി. അത് മാറിയപ്പോൾ, ഞാൻ പറഞ്ഞത് ശരിയാണെന്ന് തെളിഞ്ഞു.

പെട്ടെന്ന് തുടങ്ങാൻ വേണ്ടി, ഞാൻ ഒരു കോഴ്സിന് ചേർന്നു. കറുത്ത തൊപ്പി 2020 "എന്ന തലക്കെട്ടിൽറാഗുകളിൽ നിന്ന് സമ്പന്നതയിലേക്ക്: ഡോക്കർ സ്വാമിനെയും കുബർനെറ്റസ് പരിതസ്ഥിതികളെയും തുളച്ചുകയറുകയും സുരക്ഷിതമാക്കുകയും ചെയ്യുന്നു".

ഷീല എ. ബെർട്ടയും സോൾ ഒസ്സാനും പഠിപ്പിച്ച കോഴ്‌സ്, ഡോക്കർ കണ്ടെയ്‌നറുകൾ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും കുബേർനെറ്റസിൽ വിന്യസിക്കുമ്പോൾ അവ സ്വീകരിക്കുന്ന പ്രക്രിയയെക്കുറിച്ചും വിവരിച്ചുകൊണ്ട് ഉടൻ ആരംഭിച്ചു. ഇത് പൂർണ്ണമായും പ്രായോഗിക അനുഭവമായിരുന്നു - വിദ്യാർത്ഥികൾ അവരുടെ മെഷീനുകളിൽ ഡോക്കറും മൈക്രോകെ8-കളും മുൻകൂട്ടി ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട് - ഉപകരണങ്ങൾ എങ്ങനെ ഇടപെടുന്നുവെന്ന് കാണാനും തടസ്സങ്ങൾ തിരിച്ചറിയാനും ഏറ്റവും പ്രധാനമായി, അവയെ ലഘൂകരിക്കാൻ ശ്രമിക്കാനുമുള്ള മികച്ച മാർഗമാണിത്.

നിർഭാഗ്യവശാൽ, രണ്ട് ദിവസത്തിനുള്ളിൽ എന്നെ ഒരു "രാജകുമാരൻ" ആക്കുമെന്ന് കോഴ്സുകൾ വാഗ്ദാനം ചെയ്തെങ്കിലും, ഇത് ഒരു തുടക്കം മാത്രമാണെന്നും എനിക്ക് ഇനിയും ഒരുപാട് പഠിക്കാനുണ്ടെന്നും എനിക്ക് തോന്നി.

എന്റെ ഉന്നതമായ നിരീക്ഷണങ്ങളിലേക്ക് കടക്കുന്നതിനുമുമ്പ്, ഒരു കണ്ടെയ്നർ എന്താണെന്ന് വിശദീകരിക്കേണ്ടത് പ്രധാനമാണ്. വികസന ലോകത്ത്, നിങ്ങളുടെ സ്വകാര്യ മെഷീനിൽ എഴുതിയ കോഡ് പൂർണ്ണമായി പ്രവർത്തിക്കുന്നത് സാധാരണമാണ്, എന്നാൽ നിങ്ങൾ അത് എവിടെയെങ്കിലും ഒരു സെർവറിൽ പ്രവർത്തിപ്പിക്കാൻ ശ്രമിക്കുമ്പോൾ, അത് പ്രവർത്തിക്കുന്നില്ല. ഒരു സെർവറിൽ നിന്ന് മറ്റൊന്നിലേക്ക് എളുപ്പത്തിൽ നീക്കാൻ കഴിയുന്ന സ്വയം നിയന്ത്രിത മെഷീനുകൾ നൽകിക്കൊണ്ട് കണ്ടെയ്നറുകൾ ഈ പ്രശ്നം മറികടക്കാൻ ശ്രമിക്കുന്നു, അവ എല്ലായ്പ്പോഴും പ്രവർത്തിക്കുമെന്ന് ആത്മവിശ്വാസത്തോടെ. പേര് സൂചിപ്പിക്കുന്നത് പോലെ, ആപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിക്കാൻ ആവശ്യമായ കോഡ്, ലൈബ്രറികൾ, മറ്റ് സോഫ്റ്റ്‌വെയറുകൾ എന്നിവ അവയിൽ അടങ്ങിയിരിക്കുന്നു. മറുവശത്ത്, കുബേർനെറ്റ്സ് കണ്ടെയ്‌നറുകൾക്കുള്ള ഓർക്കസ്ട്രേഷൻ പ്ലാറ്റ്‌ഫോംതത്വത്തിൽ, നൂറുകണക്കിന് അല്ലെങ്കിൽ ആയിരക്കണക്കിന് വ്യത്യസ്ത കണ്ടെയ്നറുകൾ സുഗമമായി കൈകാര്യം ചെയ്യാൻ ഇത് ഉപയോഗിക്കാം.

ചുവപ്പ്, നീല ടീമുകളുടെ വീക്ഷണകോണിൽ നിന്നുള്ള എന്റെ ചില കണ്ടെത്തലുകൾ താഴെ കൊടുക്കുന്നു.

റെഡ് ടീം

മിക്ക കണ്ടെയ്നർ ഉള്ളടക്കങ്ങളും റൂട്ട് ആയിട്ടാണ് പ്രവർത്തിക്കുന്നത്.ഇതിനർത്ഥം ഒരു കണ്ടെയ്നർ അപകടത്തിൽപ്പെട്ടാൽ, നിങ്ങൾക്ക് അതിലേക്ക് പൂർണ്ണ ആക്‌സസ് ലഭിക്കും എന്നാണ്. ഇത് തുടർന്നുള്ള ഘട്ടങ്ങൾ ഗണ്യമായി എളുപ്പമാക്കുന്നു.

ഒരു കണ്ടെയ്നറിനുള്ളിൽ docker.sock ഘടിപ്പിക്കുന്നത് അപകടകരമാണ്.ഒരു കണ്ടെയ്‌നറിനുള്ളിൽ റൂട്ട് ആക്‌സസ് നേടുകയും ഡോക്കർ സോക്കറ്റ് (/var/run/docker.sock) ഉള്ള ഒരു കണ്ടെയ്‌നറിനുള്ളിൽ ഡോക്കർ ഇൻസ്റ്റാൾ ചെയ്യുകയും ചെയ്താൽ, മറ്റേതെങ്കിലും കണ്ടെയ്‌നറിലേക്കുള്ള ആക്‌സസ് ഉൾപ്പെടെ മുഴുവൻ ക്ലസ്റ്ററും പര്യവേക്ഷണം ചെയ്യാനുള്ള സാധ്യത നിങ്ങൾക്കുണ്ട്. നെറ്റ്‌വർക്ക് ഐസൊലേഷനിലൂടെയോ മറ്റ് മാർഗങ്ങളിലൂടെയോ ഈ ആക്‌സസ് തടയാൻ കഴിയില്ല.

പരിസ്ഥിതി വേരിയബിളുകളിൽ പലപ്പോഴും സെൻസിറ്റീവ് ഡാറ്റ അടങ്ങിയിരിക്കുന്നു.മിക്ക കേസുകളിലും, ആളുകൾ സാധാരണ പരിസ്ഥിതി വേരിയബിളുകൾ ഉപയോഗിച്ചാണ് കണ്ടെയ്‌നറിലേക്ക് പാസ്‌വേഡുകൾ അയയ്ക്കുന്നത്. അതിനാൽ, നിങ്ങൾക്ക് അക്കൗണ്ടിലേക്ക് ആക്‌സസ് ഉണ്ടെങ്കിൽ, കൂടുതൽ പ്രത്യേകാവകാശങ്ങൾ നേടുന്നതിന് നിങ്ങൾക്ക് ഈ പരിസ്ഥിതി വേരിയബിളുകൾ പരിശോധിക്കാം.

ഡോക്കർ API-ക്ക് ധാരാളം വിവരങ്ങൾ നൽകാൻ കഴിയും.ഡോക്കർ API, അതിന്റെ ഡിഫോൾട്ട് കോൺഫിഗറേഷനോടുകൂടി, അംഗീകാരമില്ലാതെ പ്രവർത്തിക്കുന്നു, കൂടാതെ ധാരാളം വിവരങ്ങൾ നൽകാൻ കഴിയും. ഷോഡാൻ ഉപയോഗിച്ച്, നിങ്ങൾക്ക് തുറന്ന പോർട്ടുകളുടെ ഒരു ലിസ്റ്റ് എളുപ്പത്തിൽ കണ്ടെത്താനും ക്ലസ്റ്ററിനെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ നേടാനും കഴിയും - കൂടാതെ ഒരു പൂർണ്ണ ക്ലസ്റ്റർ ഏറ്റെടുക്കലിലേക്ക് പോകാനും കഴിയും. ട്രെൻഡ് മൈക്രോ ഇതിനെക്കുറിച്ച് എഴുതി. വളരെ രസകരമായ ഒരു ലേഖനം.

ബ്ലൂ ടീം

കണ്ടെയ്നർ ഉള്ളടക്കങ്ങൾ റൂട്ട് ആയി പ്രവർത്തിപ്പിക്കരുത്: റൂട്ട് ആയി പ്രവർത്തിപ്പിക്കുന്നത് എളുപ്പമാണെങ്കിലും, നിങ്ങൾ ഇത് ചെയ്യരുത്. പകരം, CLI ഉപയോഗിക്കുമ്പോൾ --user പാരാമീറ്റർ ഉപയോഗിച്ച് ഉപയോക്തൃ ഐഡി പ്രദർശിപ്പിച്ചോ അല്ലെങ്കിൽ ഡോക്കർഫയലിൽ USER വ്യക്തമാക്കിയോ ക്ലിയർ ചെയ്ത അനുമതികളോടെ ആപ്ലിക്കേഷനുകൾ പ്രവർത്തിപ്പിക്കുക.

കണ്ടെയ്‌നറുകളിൽ പ്രോഗ്രാമുകൾ ഇൻസ്റ്റാൾ ചെയ്യാൻ അനുവദിക്കരുത്.മിക്കവാറും എല്ലാ ആക്രമണങ്ങളും എന്തെങ്കിലും ഇൻസ്റ്റാൾ ചെയ്യുന്നതിലൂടെ ആരംഭിക്കുന്നു. nmap മുതൽ ifconfig വരെയും ഡോക്കർ വരെയും (ഒരു കണ്ടെയ്നറിനുള്ളിൽ) വരെ, ഒരു കണ്ടെയ്നറിനുള്ളിൽ എന്തെങ്കിലും ഇൻസ്റ്റാൾ ചെയ്യുന്നത് സാധാരണമായി മാറിയിരിക്കുന്നു. ഇതേ കാരണത്താൽ, ഉപയോഗിക്കാത്ത എല്ലാ പോർട്ടുകളും നിങ്ങൾ എപ്പോഴും തടയണം. നിങ്ങളുടെ മെഷീനിൽ അണുബാധയുണ്ടായിരിക്കുമ്പോൾ നിയന്ത്രണ കമാൻഡുകൾ കൈമാറുന്നത് തടയാനും ഇത് സഹായിക്കുന്നു. സോഫ്റ്റ്‌വെയർ ഇൻസ്റ്റാളേഷൻ തടയുന്നതിനൊപ്പം, കണ്ടെയ്നറിൽ തന്നെ അതിന്റെ ചുമതല പൂർത്തിയാക്കാൻ ആവശ്യമായ ഏറ്റവും കുറഞ്ഞ ആപ്ലിക്കേഷനുകൾ മാത്രമേ ഉള്ളൂ എന്ന് ഉറപ്പാക്കേണ്ടതാണ്.

docker.sock പരിരക്ഷിക്കുക: കണ്ടെയ്‌നറിനും ക്ലസ്റ്ററിനും ഇടയിലുള്ള ആശയവിനിമയം ഈ സോക്കറ്റ് കൈകാര്യം ചെയ്യുന്നതിനാൽ ഇത് സംരക്ഷിക്കേണ്ടതുണ്ട്. ഈ ലേഖനത്തിൽ വിശദാംശങ്ങളിലേക്ക് പോകാൻ ഞാൻ ആഗ്രഹിക്കുന്നില്ല, ദയവായി വായിക്കുക ഡോക്കറിൽ നിന്നുള്ള കുറിപ്പ്, എന്ത് സംഭവിക്കാം, അതെല്ലാം എങ്ങനെ തടയാം.

പരിസ്ഥിതി വേരിയബിളുകൾക്ക് പകരം ഡോക്കർ രഹസ്യങ്ങൾ ഉപയോഗിക്കുകരഹസ്യങ്ങളുണ്ട് ഏകദേശം 2017 മുതൽഇത് സുരക്ഷിതമല്ലെങ്കിലും, സെൻസിറ്റീവ് ഡാറ്റ കണ്ടെയ്‌നറിലേക്ക് കൈമാറാൻ പരിസ്ഥിതി വേരിയബിളുകൾ ഉപയോഗിക്കുന്നതിനേക്കാൾ ഇത് ഇപ്പോഴും നല്ലതാണ്.

ഈ ലേഖനം കണ്ടെയ്‌നറുകളിൽ നിങ്ങളുടെ താൽപ്പര്യം ജനിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, നിങ്ങൾക്ക് ഡോക്കർ കൂടാതെ/അല്ലെങ്കിൽ മൈക്രോകെ8കൾ (കുബേർനെറ്റസിന്റെ ഒരു ചെറിയ പതിപ്പ്) വളരെ എളുപ്പത്തിൽ ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയും. ഇത് ഡോക്കർ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിനുള്ള നിർദ്ദേശങ്ങളുണ്ട് Linux കൂടാതെ MacOS, കൂടാതെ ഇവിടെ - microk8s ഇൻസ്റ്റലേഷൻ നിർദ്ദേശങ്ങൾ Windows, Linux കൂടാതെ MacOS.

ഇൻസ്റ്റാളേഷന് ശേഷം നിങ്ങൾക്ക് പോകാം ഇതൊരു ദ്രുത ആരംഭ ഗൈഡാണ്. സമാനമായ ഒരു ഓപ്ഷനായ ഡോക്കറിൽ നിന്ന് വാഗ്ദാനം ചെയ്തു മൈക്രോകെ8കൾക്കും.

അടിസ്ഥാന അമൂർത്തീകരണങ്ങൾ മുതൽ നെറ്റ്‌വർക്ക് പാരാമീറ്ററുകൾ വരെ, വിവിധ ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളുമായും പ്രോഗ്രാമിംഗ് ഭാഷകളുമായും പ്രവർത്തിക്കുന്നതിന്റെ സൂക്ഷ്മതകൾ വരെ, പ്രായോഗിക സ്പീക്കറുകൾ ഉൾക്കൊള്ളുന്ന ഡോക്കറിനെക്കുറിച്ചുള്ള ഒരു സമഗ്രമായ കോഴ്‌സ് നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ അല്ലെങ്കിൽ എടുക്കണമെങ്കിൽ, "പരീക്ഷിക്കുക"ഡോക്കർ വീഡിയോ കോഴ്സ്"നിങ്ങൾക്ക് സാങ്കേതികവിദ്യയുമായി പരിചയപ്പെടാനും ഡോക്കർ എവിടെ, എങ്ങനെ മികച്ച രീതിയിൽ ഉപയോഗിക്കാമെന്ന് മനസ്സിലാക്കാനും കഴിയും. മികച്ച രീതിയിലുള്ള കേസ് പഠനങ്ങളിലേക്കും നിങ്ങൾക്ക് പ്രവേശനം ലഭിക്കും - സ്പൈക്ക് ചെയ്ത ഹാൻഡിലുകൾ വ്യക്തിപരമായി ഉപയോഗിക്കുന്നതിനേക്കാൾ സുരക്ഷിതമായും പ്രാക്ടീഷണർമാരുടെ പിന്തുണയോടെയും റേക്കുകളെക്കുറിച്ചുള്ള കഥകൾ കേട്ട് പഠിക്കുന്നതാണ് നല്ലത്.

അവലംബം: www.habr.com