Выход из контейнера

Полная виртуализация или ничего.

Контейнеры - это НЕ виртуализация от слова - СОВСЕМ. Их, вообщет, надо еще и уметь применять - контейнеры эти. Как нормальный пример использования - web-hosting, когда кучи клиентов надо дать однотипное решение. А вот когда стадо яйцеголовых идиотов начинает сувать в контейнер свою «гениальную» программу, чтоб таким образом раздавать ее пользователям, под соусом «безопасности» и моды: «Мы круты, мы умеем контейнер» - это маразм и идиотизм.

Или, как вариант, запускать контейнеры не от рута. В новости пишут, что можно получить рута, если воспользоваться уязвимостью, чтобы вылезти из контейнера. А что если взломщик получит только юзера с пустым home directory и access denied к другим директориям?

Тут согласен, но гложет червячок: а зачем тогда контейнер? :) sudo -u пустой-юзер, и вперёд. :)

А я не ругал, я чисто разговора ради, и честно признался что не юзал. :)

Самый точный анализ виденный мной на ЛОРе за годы!

Про LXC в подробностях ничего.

Почему вообще такой хайп на контейнеры, а не виртуалки? Наверняка ведь можно собрать тонюсенькое ядрышко с каким-нибудь зарезанным init-ом

Интересно, в лялих-ядре виртуализация реализована проще чем контейнеризация? Хотя бы тупо по количеству строк кода на то и на другое. По ощущениям (точнее, по количеству нужных докеру CONFIG-опций), виртуализация должна быть проще. Так что возможный минус только в скорости.

А я и не писал про lxc. Это самодеятельность модератора.

Контейнеры - это НЕ виртуализация

Он этого и не говорил.

чтоб таким образом раздавать ее пользователям

Никто так не делает.

Как нормальный пример использования - web-hosting

Ничего нормального в этом нет, ты, похоже, совсем не врубаешься зачем нужны контейнеры.

Чтобы получить консистентное окружение.

Вот только это бред.

Как я понимаю контейнер в линуксе должен решать следущие задачи: изоляция файловой системы и процессов, распределение ресурсов хост-системы. По сути легкая vm, которая работает на ядре хоста и позволяет не использовать гипервизор, как в полноценной vm.

При нынешнем развитии выч. мощностей теряет всякий смысл, поскольку разница в производительности с настоящей vm (x86) составлет меньше 10%, при существенной потере в безопасности и прочих возможностей.

Считаю практически идеальной реализацию контейнера в солярис в виде концепции «зона». В ней можно запустить полную систему линукс с ядром или соларис 8, а можно использовать т.н. «линуксятор» и использовать в зоне окружение RedHat 7 работающее на ядре соларис. При этом интерфейс настройки унифицирован через утилиты zonecfg и zoneadm.

Он этого и не говорил.

Он сказал «Или полная виртуализация, или ничего». Как я понимаю - ты специально вырезал это при цитировании, что «попередергивать».

Никто так не делает.

Даааа????? А вот у меня в практике таких примеров - масса. Иначе я не стал бы писать об этом. Куча даунов именно так и поступает.

И кстати. Че это нет ничего нормально в применении докера на веб-хостинге? А то такие твои голословные высказывания я смотрю весьма так совпадают с вырезанием неудобной тебе цитаты. Тут мне нравиться - я оставлю. А вот тут - нет, поэтому вырежу.

проблема в том что снаружи обертка написана на питоне.

Это не является проблемой.

По сути легкая vm

До этого момента было верно. Но если говорить конкретно про докер, то это — не вм ни в каком виде, вышеназванное — не цель, а средство. Главная фича Докера, благодаря которой он взлет, — удобная дистрибуция софта.

ansible умеет работать c vm. В чем килерфича докера?

Как я понимаю

Не понимаешь, под виртуализацией он подразумевал, внезапно, виртуализацию, а не контейнеры, которым он её и противопоставляет.

Куча даунов именно так и поступает

Дауны много чего делают, ты лучше дай примеры чего-нибудь значимого, которое поставляется исключительно в виде контейнера и под представленным тобой «соусом». Dockerfile вместо тысячи слов и скриптов позволяет лаконично описать окружение, а Docker Hub — удачное следствие и не более того. Раздают обычно исходники, а контейнер — лишь один из сценариев сборки.

Че это нет ничего нормально в применении докера на веб-хостинге?

Потом, что контейнер это не образ виртуалки, а stateless окружение (в идеале).

В том, что это не вм. Оверхед есть только на io, а разворачивание мгновенное. И это гораздо проще и универсальней чем ansible.

Угу, интеловским багам расскажите. Да и потом когда у вас 10 серверов 10% это уже целый сервак, который греет атмосферу просто так вместо того чтобы что-то полезное делать

Ошибочное мнение. Отдельные возможности podman работаю без root, но не все.

stateless окружение

т.е. базу в него не положишь? А где тогда ее брать?

Странно читать агрессивные комменты от некоторых по поводу Докера. У вас так бомбит из-за того, что не осилили? Юзаю контейнер для локальной разработки, в нем же у меня в гитлабе в пайплайнах запускаются тесты, на сервере проект тоже разворачивается в контейнерах с помощью docker-compose. Просто? Да, но почему бы и нет. Везде одинаковое окружение - одни плюсы. Не понимаю, почему это кому-то может не нравиться.

Способов заюзать данную уязвимость при таком использовании Докера я не вижу вообще.

У вас так бомбит из-за того, что не осилили?

Докер это замечательный инструмент облегчающий разработку, тестирование, развёртывание и сопровождение програмных систем. Однако с ним есть две проблемы:

1. Он также замечательно облегчает жизнь малограмотным людям. Раньше они бездумно запускали скрипты копипастили инструкции из интернета, а теперь точно так же не задумываясь запускают образы из хаба докера.

2. Неизменяемый контейнер концептуально отличается от привычных серверов или виртуальных машин. Нужно думать, менять свои привычки, а этого никто не любит. А если этого не сделать и применять докер в привычной парадигме, то получаются проблемы вроде той, про которую написано в новости.

Можно, конечно. Для хранения данных в контейнер монтируется внешнее хранилище.

Вообще, у докера контейнеры на самом деле не sateless, они могут сохранять состояние, но так делать не нужно.

Для баз данных следует прокидывать файловую систему хоста внутрь контейнера (обычный mount --bind, никакой магии). Или не прокидывать. Например, можно (и нужно) использовать один и тот же контейнер в проверочном и рабочем окружении, но в одном случае запускать его как-есть и бесплатно получать чистое развёртывание на каждом тесте, а в другом — монтировать файлы с данными.

Ух ты! Нашёлся добрый человек, который бесплатно соберёт мне «тонюсенькое ядрышко с каким-нибудь зарезанным init-ом»! Когда закончишь?

All problems in computer science can be solved by another level of indirection

Наверняка ведь можно собрать тонюсенькое ядрышко с каким-нибудь зарезанным init-ом, которое будет стартовать за миллисекунды и жрать мегабайт своей памяти.

Можно.

И в чём тогда будет преимущество контейнеров?

Давайте лучше поговорим в чём будет преимущество вашего «тонюсенького ядрышка»?

Странно читать агрессивные комменты от некоторых по поводу <того, чего они не понимают>

Добро пожаловать на ЛОР!

на сервере проект тоже разворачивается в контейнерах с помощью docker-compose

Это разве не для локалхоста?

Можно использовать софт для RHEL 4 практически бесконечно.

Это хорошая возможность. Что-нибудь ещё?

а зачем тогда контейнер?

Ты не понимаешь, как это работает. В большинстве случаев нет вообще никакой необходимости в соответствии рута в контейнере руту на хосте. Докер это умеет, но по умолчанию не использует, предпочитая только сброс capabilities и seccomp + AppArmor. Нормальные реализации LXC (LXD, PCT) по умолчанию создают контейнеры «бесправными».

Я тут убрал неуместное упоминание LXC. С тех пор, как докер от LXC полностью отклеился, в терминах хипстопрограммизма говоря, прошла уже геологическая эра.

При отказе узла, контейнер умеет автоматически мигрировать на другой узел без остановки процессов внутри себя?

Сам не пользовался, но на конференции про CRIU рассказывали очень убедительно.

Впрочем основное направление текущей разработки это создавать такую архитектуру, чтобы остановка процесса во время миграции на другой узел не составляла проблему.

Процесс свое состояние сохраняет, например пул открытых коннектов к бд и продолжает работу или перезапускается?

Вовсе нет. Современные разработчики пишут такое ПО, что его сразу кладут в контейнеры.

%)))) наес

Процесс свое состояние сохраняет, например пул открытых коннектов к бд и продолжает работу

Да. Там внутри довольно сложная машинерия для этого.

Если просто перезапускать процесс на новом хосте, то это лучше в кубернетес идти.

Мне уже одно только название нравится - звучит как название музыкального альбома или группы. ЧСХ от докеров и прочего отказался года три как, хотя поначалу контйнероводство казалось выходом.

в чём будет преимущество вашего «тонюсенького ядрышка»?

В том, что оно будет использовать более надёжную виртуализацию.

Похоже действительно нужна какая-то совсем другая архитектура и железа и ОС, чтобы дыры чуть не каждый день не вылазили.

Или совсем другие погромисты.

Кого ты собрался переносить и откуда, если у тебя сервак сдох? Память азотом жидким полить что-ли?

Живая миграция процессов не особо нужна. Девятки после запятой в availability достигаются не за счёт того, что ты что-то можешь перенести с трупа, а за счёт того, что если кто-то сдохнет по мере обработки твоего запросы, то ты это совсем не заметишь. Потому что есть десятки клонов, которые подхватят обработку (да, при этом надо систему дизайнить соответствующим образом, и контейнеры в этом сильно помогают)

ну так из полной же тоже сбегали, и вполне удачно. Только baremetal!

Это оценочное суждение уровня «волосы будут на 16% шелковистее».

Выход из контейнера (комментарий)

Это оценочное суждение уровня «волосы будут»

Волосы в любом случае будут.