Docker konteynerlerinde güvenlik güncellemeleri nasıl ele alınır?

Uygulamaları sunuculara dağıtırken, genellikle uygulamanın kendisiyle ne paketlediği ile platformdan ne beklediğini (işletim sistemi ve yüklü paketler) arasında bir ayrım vardır. Bunun bir noktası, platformun uygulamadan bağımsız olarak güncellenebilmesidir. Bu, örneğin, tüm uygulamayı yeniden oluşturmadan platform tarafından sağlanan paketlere acil olarak güvenlik güncelleştirmelerinin uygulanması gerektiğinde faydalıdır.

Geleneksel olarak güvenlik güncellemeleri, işletim sistemine paketlerin güncellenmiş sürümlerini yüklemek için bir paket yöneticisi komutu yürütülerek uygulanmıştır (örneğin, RHEL'de "yum update"). Ancak, konteyner görüntülerinin esas olarak hem uygulamayı hem de platformu bir araya getirdiği Docker gibi konteyner teknolojisinin ortaya çıkmasıyla, sistemi güncel bir konteynerle tutmanın kanonik yolu nedir? Hem ana bilgisayarın hem de kapsayıcıların kendi, bağımsız, ana bilgisayarda güncellenmesi ve güncelleştirilmesi gereken paket kümeleri vardır, kapların içindeki hiçbir paketi güncellemez. Docker konteynerlerinin özellikle öne çıktığı RHEL 7'nin piyasaya sürülmesi ile Redhat'ın konteynerlerin güvenlik güncellemelerini yapmanın tavsiye ettiği yolu duymak ilginç olurdu.

Seçeneklerden birkaçı üzerine düşünceler:

• Paket yöneticisinin ana bilgisayardaki paketleri güncellemesine izin vermek, kapların içindeki paketleri güncellemez.
• Güncellemeleri uygulamak için tüm konteyner görüntülerini yeniden oluşturmak zorunda kalmak, uygulama ile platform arasındaki mesafeyi bozuyor gibi görünüyor (platformu güncellemek Docker görüntülerini oluşturan uygulama oluşturma işlemine erişim gerektirir).
• Çalışan konteynerlerin her birinin içinde el ile çalıştırma komutları zahmetli görünüyor ve bir sonraki uygulama kapsayıcılarının uygulama sürümünden güncelleştirilmesinden sonra değişikliklerin üzerine yazılma riski var.

Yani bu yaklaşımların hiçbiri tatmin edici görünmüyor.

Bir Docker resmi, uygulama ve "platform" paketlerini içerir; bu doğru. Ancak genellikle görüntü, temel görüntüden ve gerçek uygulamadan oluşur.

Dolayısıyla, güvenlik güncellemelerini almanın kurallı yolu temel resmi güncellemektir, ardından uygulama resminizi yeniden oluşturun.

Konteynırlar hafif ve değiştirilebilir olmalıdır. Kapsayıcınızın güvenlik sorunu varsa, yeni kapsayıcıyı yayan ve dağıtan bir kapsayıcı sürümünü yeniden oluşturursunuz. (birçok konteyner bağımlılıklarını kurmak için apt-get gibi standart paket yönetim araçlarını kullanan standart bir temel görüntü kullanır, yeniden inşa etmek güncellemeleri depolardan çeker)

Konteynerlerin içine yama yapabiliyorken, bu iyi bir şekilde ölçeklenmeyecek.

Bu, SUSE Enterprise Linux'ta zypper-docker (1) kullanılarak otomatik olarak ele alınır.

SUSE / zypper-docker

Docker Hızlı Başlangıç

Öncelikle, geçmişte geleneksel olarak koştuğunuz güncellemelerinizin çoğu basitçe kabın içinde kalmayacak. Kap, geçmişte görmeye alıştığınız tam dosya sisteminin oldukça hafif ve küçük bir alt kümesi olmalıdır. Güncellemeniz gereken paketler, DockerFile'nizin bir parçası olan paketlerdir ve DockerFile'niz olduğundan, güncellemeleri gereken bu paketleri ve konteyner kimliklerini takip edebilmelisiniz. Yakında piyasaya sürülecek olan Cloudstein'ın kullanıcı arayüzü, bu DockerFile bileşenlerini sizin için takip ediyor, böylece bir tanesi konteynerleri için en uygun olan güncelleme şemasını oluşturabiliyor. Bu yardımcı olur umarım

genellikle sağladığınız üç seçenekden bile daha kötü. Liman görüntülerinin çoğu paket yöneticileriyle oluşturulmaz, bu nedenle liman görüntülerine giremez ve güncelleme yapamazsınız. Liman işçisi görüntüsünü yeniden oluşturmanız veya yeniden oluşturmanız gerekecektir.

Güvenlik düzeltme ekleri için yeniden inşa etmeniz veya başkalarına bakmanız gerekmesi çoğu durumda mantıksız görünüyor.

Sonar ve radarrları liman işçisi konteynırlarına yerleştirmeyi düşünüyordum ama konteynırımın düzenli güvenlik güncellemelerini almayacaklarını bilmek bir kontrat kırıcı oldu. Konteynırım için güvenlik güncellemelerini yönetmek, her docker görüntüsüne ayrı ayrı güvenlik güncelleştirmeleri el ile uygulamak zorunda kalmadan uğraşmak zorunda kalmaz.