沙龙晃荡 | 3月31日 京东、微博拭魅战专家与你合营商量容器技巧实践！

应用这些策略来保护容器解决筹划的各个层面和容器生命周期的各个阶段的安然。

当治理结合集群时，你必须确保你的编配对象可以或许供给你所须要的跨不合安排平台的实例的安然性。一般来说，认证和授权是很关键的 —— 不论你的应用法度榜样运行在什么处所，将数据安然靠得住地传递给它们，以及治理跨集群的多租户应用法度榜样。Kubernetes 扩大了却合集群，包含春浇忧⒛机密数据、浇忧⒛定名空间、以及 Ingress objects 的支撑。

选择一个容器平台

容器供给了打包应用法度榜样的一种简单办法，它实现了大年夜开辟到测试到投入临盆体系的无缝传递。它也有助于确保跨不合情况的连贯性，包含物理办事器、虚拟机、以及公有云或私有云。这些好处使得一些组织为了更便利地安排和治理为他们晋升营业价值的应用法度榜样，而快速地采取了容器技巧。

对容器进行安然保护就像是对运行中的过程进行安然保护一样。在你安排和运行你的容器之前，你须要去推敲全部解决筹划各个层面的安然。你也须要去推敲贯穿了应用法度榜样和容器全部生命周期的安然。

请测验测验大年夜这十个关键的身分去确保容器解决筹划栈不合层面、以及容器生命周期的不合阶段的安然。

1. 容器宿主机操作体系和多租户情况

因为容器将应用法度榜样和它的依附作为一个单位来处理，使得开辟者构建和进级应用法度榜样变得加倍轻易，并且，容器可以启用多租户技巧将很多应用法度榜样和办事安排到一台共享主机上。在一台零丁的主机上以容器方法安排多个应用法度榜样、按需启犊?租闭单个容器都是很轻易的。为完全实现这种打包和安排技巧的优势，运营团队须要运行容器的合适情况。运营者须要一个安然的操作体系，它可以或许在界线上保护容器安然、安闲器中保护主机内核，以及保护容器彼此之间的安然。

容器是隔离而资本受限的 Linux 过程，许可你在一个共享的宿主机内核上运行沙盒化的应用法度榜样。保护容器的办法与保护你的 Linux 中运行的任何过程的办法是一样的。降低权限是异常重要的，也是保护容器安然的最佳实践。最好应用尽可能小的权限去创建容器。容器应当以一个通俗用户的权限来运行，而不是 root 权限的用户。在 Linux 中可以应用多个层面的安然加固手段，Linux 定名空间、安然强化 Linux（SELinux）、cgroups 、capabilities（LCTT 译注：Linux 内核的一个安然特点，它打破了传统的通俗用户与 root 用户的概念，在过程级供给更好的安然控制）、以及安然计算模式（ seccomp ），这五种 Linux 的安然特点可以用于保护容器的安然。

2. 容器内容（应用可托来源）

在谈到安然时，起重要推敲你的容器琅绫擎有什么？例如 ，有些时刻，应用法度榜样和基本举措措施是由很多可用组件所构成的。它们中的一些是开源的软件包，比如，Linux 操作体系、Apache Web 办事器、Red Hat JBoss 企业应用平台、PostgreSQL，以及 Node.js。这些软件包的容器化版本已经可以应用了，是以，你没有须要本身去构建它们。然则，对于你大年夜一些外部来源下载的任何代码，你须要知道这些软件包的原始来源，是谁构建的它，以及这些包琅绫擎是否包含恶意代码。

3. 容器注册（安然拜访容器镜像）

你的团队的容器构建于下载的公共容器镜像，是以，拜访和进级这些下载的容器镜像以及内部构建镜像，与治理和下载其它类型的二进制文件的方法是雷同的，这一点至关重要。很多私有的注册库支撑容器镜像的存储。选择一个私有的注册库，可以帮你将存储在它的注册中的容器镜像实现策略主动化。

4. 安然性与构建过程

在一个容器化情况中，软件构建过程是软件生命周期的一个阶段，它将所需的运行时库和应用法度榜样代码集成到一路。治理这个构建过程对于保护软件栈安然来说是很关键的。遵守“一次构建，到处安排”的原则，可以确保构建过程的结不雅恰是临盆体系中须要的。保持容器的恒定不变也很重要 — 换句话说就是，不要对正在运行的容器打补丁，而是，从新构建和安排它们。

不论是因为你处于一个高强度监管的行业中，照样只欲望简单地优化你的团队的结不雅，设计你的容器镜像治理以及构建过程，可以应用容器层的优势来实现控制分别，是以，你应当去这么做：

• 运营团队治理基本镜像
• 架构师治理中心件、运行时、数据库，以及其它解决筹划
• 开辟者专注于应用法度榜样层面，并且只写代码

应用收集定名空间，容器内的每个集合（即大年夜家熟知的 “pod”）都邑获得它本身的 IP 和绑定的端口范围，以词攀来年腋荷琐节点上隔离每个 pod 收集。除应用下面所述的方法之外，默认情况下，来自不合定名空间（项目）的 pod 并不克不及发送或者接收其它 pod 上的包和不合项目标办事。你可以应用这些特点在同一个集群内隔分开辟者情况、测试情况，以及临盆情况。然则，如许会导致 IP 地址和端口数量的激增，使得收集治理加倍复杂。别的，容器是被设计为反复应用的，你应当在处理这种复杂性的对象长进行投入。在容器平台上比较受迎接的对象是应用 软件定义收集 (SDN) 供给一个定义的收集集群，它许可跨不合集群的容器进行通信。

　　推荐阅读

　　为初学者简单介绍Linux ldd命令

ldd [object-name] 沙龙晃荡 | 3月31日 京东、微博拭魅战专家与你合营商量容器技巧实践！ How to make ldd produce unused direct dependenciesQ4、 若何让 ldd 履行重定位？如不雅您的工作>>>详细阅读

本文标题：Linux容器安全的10个层面

地址：http://www.17bianji.com/lsqh/40630.html

 1/2    1