3 天前 / 小米运维
前面我们为大家介绍了Docker支持容器root用户的 Capability 能力限制、镜像签名、Apparmor的MAC访问控制、使用Seccomp限制系统调用等安全性支持，这篇文章我们会为大家介绍Docker其他安全性特性支持。 上篇文章回顾：浅谈Docker的安全性支持（上篇） 1User Namespace隔离 Linux 命名空间为运行中的进程提供了隔离，限制他们对系统资源的访问，而进程没有意识到这些限制。为防止容器内的特权升级攻击的最佳方法是将容器的应用程序配置为非特权用户运行，对于其进程必须作为容器中的 root 用户运行的容器，可以将此用户重新映射到 Docke......
3 天前 / 小米运维
前面我们为大家介绍了Docker支持容器root用户的 Capability 能力限制、镜像签名、Apparmor的MAC访问控制、使用Seccomp限制系统调用等安全性支持，这篇文章我们会为大家介绍Docker其他安全性特性支持。 上篇文章回顾：浅谈Docker的安全性支持（上篇） 1User Namespace隔离 Linux 命名空间为运行中的进程提供了隔离，限制他们对系统资源的访问，而进程没有意识到这些限制。为防止容器内的特权升级攻击的最佳方法是将容器的应用程序配置为非特权用户运行，对于其进程必须作为容器中的 root 用户运行的容器，可以将此用户重新映射到 Docke......
4 天前 / 程序员果果
一、简介1. 什么是docker swarmSwarm 在 Docker 1.12 版本之前属于一个独立的项目，在 Docker 1.12 版本发布之后，该项目合并到了 Docker 中，成为 Docker 的一个子命令。目前，Swarm 是 Docker 社区提供的唯一一个原生支持 Docker 集群管理的工具。它可以把多个 Docker 主机组成的系统转换为单一的虚拟 Docker 主机，使得容器可以组成跨主机的子网网络。 Docker Swarm 是一个为 IT 运维团队提供集群和调度能力的编排工具。用户可以把集群中所有 Docker Engine 整合进一个「虚拟 Engine」的资源池，通过执行命令与单一的主 Swarm 进行沟......
4 天前 / echochou
Docker 非常棒！它使软件开发者无需担心配置和依赖性，在任何地方打包，发送和运行他们的应用程序。而在与 Kubernetes 相结合后，它使应用集群部署和管理变得更方便。这使得 Docker 深受软件开发者的喜爱，越来越多的开发者开始使用 Docker。 那么 Docker 到底是什么？ 它是构建、测试、部署和发布容器化应用的平台。称其为平台是因为 Docker 其实是一套用于管理与容器相关的所有事物的工具。作为 Docker 的核心，接下来我们将深入探讨容器。 什么是容器？ 容器提供了在计算机上的隔离环境中安装和运行应用程序的方法。在容器内运行......
9 天前 / 程序员果果
一、简介在 Docker 中，当我们执行 docker pull xxx 的时候 ，它实际上是从 registry.hub.docker.com 这个地址去查找，这就是Docker公司为我们提供的公共仓库。在工作中，我们不可能把企业项目push到公有仓库进行管理。所以为了更好的管理镜像，Docker不仅提供了一个中央仓库，同时也允许我们搭建本地私有仓库。这一篇介绍registry、harbor两种私有仓库搭建。 二、registry 的搭建1. 搭建Docker 官方提供了一个搭建私有仓库的镜像registry，只需把镜像下载下来，运行容器并暴露5000端口，就可以使用了。 docker pull registry:2docker ......
10 天前 / 小米运维
Docker作为最重视安全的容器技术之一，在很多方面都提供了强安全性的默认配置，其中包括：容器root用户的 Capability 能力限制、Seccomp系统调用过滤、Apparmor的 MAC 访问控制、ulimit限制、pid-limits的支持，镜像签名机制等。这篇文章我们就带大家详细了解一下。 上篇文章回顾：从HBase offheap到Netty的内存管理 写在前面Docker利用Namespace实现了6项隔离，看似完整，实际上依旧没有完全隔离Linux资源，比如/proc 、/sys 、/dev/sd*等目录未完全隔离，SELinux、time、syslog等所有现有Namespace之外的信息都未隔离。 其实Docker在安全性......
12 天前 / 黑夜探路人
给我留言砥砺不畏将来，不念过去。 使用 Docker 和 Traefik 搭建 Vault2019年05月02日查看评论阅读Markdown格式5494字11分钟阅读随着使用的机器、服务越来越多，项目中依赖的变量、配置、秘钥等敏感信息，变的越来越多。与之相对的，针对这些内容的管理、维护成本，也变的越来越高。庆幸的是，我们可以借助“配置中心”的方式来解决问题。 大型互联网公司因为各种原因一般会选择自研、或基于开源项目进行“魔改”。然而对于个人或者小规模的研发团队来讲，开源社区的 Vault 不失为一个不错的解决方案，能够做到“开袋即食”。 本篇文章将会介绍 ......
14 天前 / LinuxEverything
An update on compliance for containers基于Jake Edge的https://lwn.net/Articles/786066/ 本文简述一下lwn的Jake Edge在LLW会议上撰写的文章，没有全文翻译，希望节省读者时间。从这篇文章里面，译者感到比较震撼的是演讲者面对困难不逃避，尽力克服的精神，以及对FOSS的license/copyright的坚持和支持，还有从无到有在锲而不舍的宣讲中发展追随者的行动力。人生还是要有一些追求的，共勉。 去年的LLW（Legal and Licensing Workshop）会议上，Dirk Hohndel就提出了一个问题，如何确保container（容器，虚拟化行业名词）里的内容......
15 天前 / zongwu233
应用发布流程通过结合docker容器，目前我们应用的发布流程大致如下： Gradle脚本构建镜像我们的工程是： 基于SpringBoot 2.0.3.RELEASE采用JDK8编译gradle 构建根据我们发布流程的要求，构建出最终的镜像需要满足几个目标： 尽可能构建体积小的镜像通过执行简单的gradle命令，构建镜像并push到阿里云的dockerHub仓库构建的镜像版本，有唯一标识，方便发布。比如版本中含有日期和 最后一次git commit的hash值我们最终选用了 https://github.com/bmuschko/gradle-docker-plugin的gradle-docker-plugin来实现构建docker镜像。该插件支持java-appl......
38 天前 / 梁桂钊
梁桂钊 | 作者 一、欢迎来到 Docker 世界1. Docker 与虚拟化在没有 Docker 的时代，我们会使用硬件虚拟化（虚拟机）以提供隔离。这里，虚拟机通过在操作系统上建立了一个中间虚拟软件层 Hypervisor ，并利用物理机器的资源虚拟出多个虚拟硬件环境来共享宿主机的资源，其中的应用运行在虚拟机内核上。但是，虚拟机对硬件的利用率存在瓶颈，因为虚拟机很难根据当前业务量动态调整其占用的硬件资源，因此容器化技术得以流行。其中，Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任......