欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

使用Distroless提高容器安全

 更新時間：2023年11月06日 09:00:32   作者：8sCat  
這篇文章主要為大家介紹了使用Distroless提高容器安全,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進步,早日升職加薪

使用 Distroless 鏡像來保護 Kubernetes 上的容器

容器改變了我們看待技術基礎設施的方式。這是我們運行應用程序方式的一次巨大飛躍。容器編排和云服務一起為我們提供了一種近乎無限規(guī)模的無縫擴展能力。

根據(jù)定義，容器應該包含 應用程序 及其 運行時依賴項。然而，在現(xiàn)實中，它們包含的遠不止這些。標準容器基礎映像包含標準 Linux 發(fā)行版中可以找到的包管理器、shell 和其他程序。

雖然這些都是構建容器鏡像所必需的，但它們不應該成為最終鏡像的一部分。例如，一旦你把包安裝好了，就不再需要在容器中使用 apt 等包管理工具了。

這不僅使你的容器里充滿了不必要的軟件包和程序，而且還為網(wǎng)絡罪犯提供了攻擊特定程序漏洞的機會。

你應該始終了解容器運行時中存在什么，并且應該精確地限制其只包含應用程序所需的依賴項。

除了那些必要的，你不應該安裝任何東西。一些領先的科技巨頭，如谷歌，有多年在生產(chǎn)中運行容器的經(jīng)驗，已經(jīng)采用了這種方法。

谷歌現(xiàn)在通過提供 Distroless 鏡像向全世界開放這種能力。谷歌構建的這些鏡像的目標是只包含你的應用程序及其依賴項，同時它們將沒有常規(guī) Linux 發(fā)行版的所有特性，包括 shell。

這意味著雖然可以想以前一樣運行應用程序的容器，但不能在容器運行的時候進入容器內(nèi)。這是一個重大的安全改進，因為你現(xiàn)在已經(jīng)為黑客通過 shell 進入你的容器關上了大門。

Distroless 基礎鏡像

谷歌為大多數(shù)流行的編程語言和平臺提供了 Distroless 的基礎鏡像。

以下基礎鏡像是正式發(fā)布的版本：

下面的基礎鏡像仍在實驗階段，不推薦用于生產(chǎn)環(huán)境：

構建 Distroless 鏡像

谷歌在內(nèi)部使用 Bazel 來構建容器映像，但是我們可以使用 Docker 來做同樣的事情。關于使用 Distroless 鏡像的一個有爭議的問題是：當我們有一個 Distroless 鏡像時，我們?nèi)绾问褂?nbsp;Dockerfile 來構建我們的應用程序呢？

通常，Dockerfile 以一個標準的 OS 基礎鏡像開始，然后是創(chuàng)建適當?shù)倪\行時構建所需執(zhí)行的多個步驟。這包括包的安裝，為此需要像 apt 或 yum 這樣的包管理器。

有兩種方法：

  • 先在 Docker 外部構建好你的應用程序，然后使用 Dockerfile 中的 ADD 或 COPY 指令將二進制包復制到容器中。
  • 使用多階段 Docker 構建。這是 Docker 17.05 及以后版本的一個新特性，它允許你將構建分為不同的階段。第一階段可以從標準的 OS 基礎鏡像開始，可以幫助你構建應用程序；第二階段可以簡單地從第一階段獲取構建的文件并使用 Distroless 作為基礎鏡像。

為了理解它是如何工作的，讓我們使用多階段構建流程進行一個實際操作練習。

必要條件

你需要具備以下內(nèi)容：

  • Docker 版本大于等于 17.05，用于構建鏡像
  • 可選的 Kubernetes 集群用于實踐練習的第二部分。如果你想在 Docker 中運行你的容器，你可以使用等價的 docker 命令。

GitHub 代碼倉

作為實踐練習，將 此代碼倉 Fork 到你的 GitHub 帳號下，然后克隆 GitHub 代碼倉并使用 cd 進入到項目目錄下。

該代碼倉包含一個 Python 的 Flask 應用程序，當你調(diào)用API時，該應用程序會響應 Hello World!。

app.py 文件如下所示：

from flask import Flask
app = Flask(__name__)
@app.route("/")
def hello():
    return "Hello World!"
if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=True)

Dockerfile 包含兩個階段：

FROM python:2.7-slim AS build
ADD . /app
WORKDIR /app
RUN pip install --upgrade pip
RUN pip install -r ./requirements.txt
FROM gcr.io/distroless/python2.7
COPY --from=build /app /app
COPY --from=build /usr/local/lib/python2.7/site-packages /usr/local/lib/python2.7/site-packages
WORKDIR /app
ENV PYTHONPATH=/usr/local/lib/python2.7/site-packages
EXPOSE 5000
CMD ["app.py"]

構建階段：

  • 從 python:2.7-slim 的基礎鏡像開始
  • 將應用程序復制到 /app 目錄下
  • 升級 pip 并安裝依賴

Distroless 階段：

  • 從 gcr.io/distroless/python2.7 的基礎鏡像開始
  • 將應用程序從構建階段的 /app 目錄復制到當前階段的 /app 目錄
  • 將 python 的 site-packages 從構建階段復制到當前階段的 site-packages 目錄
  • 設置工作目錄到 /app，將 python PATH 設置為 site-packages 目錄，并暴露 5000 端口
  • 使用 CMD 指令運行 app.py

由于 Disroless 鏡像不包含 shell，所以應該在最后使用 CMD 指令。如果不這樣做，Docker 將認為它是一個 shell CMD，并試圖這樣執(zhí)行它，但這是不工作的。

構建鏡像：

$ docker build -t <your_docker_repo>/flask-hello-world-distroless .
Sending build context to Docker daemon  95.74kB
Step 1/12 : FROM python:2.7-slim AS build
 ---> eeb27ee6b893
Step 2/12 : ADD . /app
 ---> a01dc81df193
Step 3/12 : WORKDIR /app
 ---> Running in 48ccf6b990e4
Removing intermediate container 48ccf6b990e4
 ---> 2e5e335be678
Step 4/12 : RUN pip install --upgrade pip
 ---> Running in 583be3d0b8cc
Collecting pip
  Downloading pip-20.1.1-py2.py3-none-any.whl (1.5 MB)
Installing collected packages: pip
  Attempting uninstall: pip
    Found existing installation: pip 20.0.2
    Uninstalling pip-20.0.2:
      Successfully uninstalled pip-20.0.2
Successfully installed pip-20.1.1
Removing intermediate container 583be3d0b8cc
...................................
Successfully installed Jinja2-2.11.2 MarkupSafe-0.23 click-7.1.2 flask-1.1.2 itsdangerous-0.24 werkzeug-1.0.1
Removing intermediate container c4d00b1abf4a
 ---> 01cbadcc531f
Step 6/12 : FROM gcr.io/distroless/python2.7
 ---> 796952c43cc4
Step 7/12 : COPY --from=build /app /app
 ---> 92657682cdcc
Step 8/12 : COPY --from=build /usr/local/lib/python2.7/site-packages /usr/local/lib/python2.7/site-packages
 ---> faafd06edeac
Step 9/12 : WORKDIR /app
 ---> Running in 0cf545aa0e62
Removing intermediate container 0cf545aa0e62
 ---> 4c4af4333209
Step 10/12 : ENV PYTHONPATH=/usr/local/lib/python2.7/site-packages
 ---> Running in 681ae3cd51cc
Removing intermediate container 681ae3cd51cc
 ---> 564f48eff90a
Step 11/12 : EXPOSE 5000
 ---> Running in 7ff5c073d568
Removing intermediate container 7ff5c073d568
 ---> ccc3d211d295
Step 12/12 : CMD ["app.py"]
 ---> Running in 2b2c2f111423
Removing intermediate container 2b2c2f111423
 ---> 76d13d2f61cd
Successfully built 76d13d2f61cd
Successfully tagged <your_docker_repo>/flask-hello-world-distroless:latest

登錄到 DockerHub 并推送鏡像：

docker login
docker push <your_docker_repo>/flask-hello-world-distroless:latest

登錄到 DockerHub（或者你的私有鏡像倉），你應該會看到容器鏡像可以使用

如果你看一下壓縮后的大小，它只有 23.36 MB。如果你使用 slim 發(fā)行版作為基礎鏡像，它將占用 56 MB。

你已經(jīng)減少了超過一半的容器占用空間。That’s amazing!

在 Kubernetes 中運行容器

為了測試構建是否有效，讓我們在 Kubernetes 集群中運行容器。如果你沒有 Kubernetes，你可以運行等價的 Docker 命令來做相同的活動，因為 Kubectl 和 Docker 命令是相似的。

我在代碼倉中創(chuàng)建了一個 kubernetes.yaml 文件，該文件包含使用我們構建的鏡像的 Deployment 和 負載均衡的 Service。

---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: flask-deployment
spec:
  selector:
    matchLabels:
      app: flask
  replicas: 2
  template:
    metadata:
      labels:
        app: flask
    spec:
      containers:
      - name: flask
        image: bharamicrosystems/flask-hello-world-distroless
        ports:
        - containerPort: 5000
---
apiVersion: v1
kind: Service
metadata:
  name: flask-service
spec:
  selector:
    app: flask
  ports:
    - port: 80
      targetPort: 5000
  type: LoadBalancer

這是一個非常簡單的設置。負載均衡器監(jiān)聽端口 80 并映射到目標端口 5000。這些 Pods 在默認的 5000 端口上監(jiān)聽 Flask 應用程序。

應用：

$ kubectl apply -f kubernetes.yaml
deployment.apps/flask-deployment created
service/flask-service created

我們查看一下所有的資源，看看我們已經(jīng)創(chuàng)建了什么：

$ kubectl get all
NAME                                    READY   STATUS    RESTARTS   AGE
pod/flask-deployment-576496558b-hnbxt   1/1     Running   0          47s
pod/flask-deployment-576496558b-hszpq   1/1     Running   0          73s

NAME                    TYPE           CLUSTER-IP   EXTERNAL-IP      PORT(S)        AGE
service/flask-service   LoadBalancer   10.8.9.163   35.184.113.120   80:31357/TCP   86s
service/kubernetes      ClusterIP      10.8.0.1     <none>           443/TCP        26m

NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/flask-deployment   2/2     2            2           88s

NAME                                          DESIRED   CURRENT   READY   AGE
replicaset.apps/flask-deployment-576496558b   2         2         2       89s

我們看到存在兩個 Pods、一個 Deployment、一個帶有外部 IP 的 LoadBalancer 服務和一個 ReplicaSet。

讓我們訪問應用程序：

$ curl http://35.184.113.120
Hello World!

我們得到了 Hello World!。這表明 Flask 應用程序在正常工作。

使用 Shell 對應用程序進行訪問

正如我在引言中所描述的，Disroless 容器中沒有 shell，因此不可能進入到容器內(nèi)。然而，讓我們試著在容器中執(zhí)行 exec：

$ kubectl exec -it flask-deployment-576496558b-hnbxt /bin/bash
OCI runtime exec failed: exec failed: container_linux.go:349: starting container process caused "exec: \"/bin/bash\": stat /bin/bash: no such file or directory": unknown
command terminated with exit code 126

我們無法連接到容器上。

容器日志呢？如果拿不到容器日志，我們就失去了調(diào)試應用程序的方法。

讓我們試著去拿日志：

$ kubectl logs flask-deployment-576496558b-hnbxt
 * Running on http://0.0.0.0:5000/
 * Restarting with reloader
10.128.0.4 - - [31/May/2020 13:40:27] "GET / HTTP/1.1" 200 -
10.128.0.3 - - [31/May/2020 13:42:01] "GET / HTTP/1.1" 200 -

所以容器日志是可以被獲取到的！

結論

使用 Distroless 作為基礎鏡像是一種令人興奮的保護容器安全的方式。由于鏡像小并且僅包含應用程序和依賴項，因此它為應用程序提供了最小的攻擊面。它在更大程度上提高了應用程序的安全性，所以它是保護容器安全的好方法。

翻譯自 How to Harden Your Containers With Distroless Docker Images

以上就是使用Distroless提高容器安全的詳細內(nèi)容，更多關于Distroless容器安全的資料請關注腳本之家其它相關文章！

相關文章

  • Docker 制作鏡像Dockerfile和commit操作

    Docker 制作鏡像Dockerfile和commit操作

    這篇文章主要介紹了Docker 制作鏡像Dockerfile和commit操作，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧
    2020-11-11
  • Docker跨主機網(wǎng)絡(manual)的實現(xiàn)

    Docker跨主機網(wǎng)絡(manual)的實現(xiàn)

    這篇文章主要介紹了Docker跨主機網(wǎng)絡(manual)的實現(xiàn)，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
    2019-12-12
  • Springboot使用docker-compose實現(xiàn)動態(tài)配置過程

    Springboot使用docker-compose實現(xiàn)動態(tài)配置過程

    這篇文章主要介紹了Springboot使用docker-compose實現(xiàn)動態(tài)配置全過程，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教
    2023-03-03
  • 使用Docker搭建minio的詳細圖文教程

    使用Docker搭建minio的詳細圖文教程

    本文介紹了Docker配置鏡像源的方法,以及如何在Docker中拉取鏡像和創(chuàng)建運行容器,詳細說明了使用MinIO創(chuàng)建Bucket、設置AccessKey、安裝和配置Cpolar以及SpringBoot集成MinIO的步驟,需要的朋友可以參考下
    2024-10-10
  • maven構建docker鏡像push到鏡像倉庫方式

    maven構建docker鏡像push到鏡像倉庫方式

    這篇文章主要介紹了maven構建docker鏡像push到鏡像倉庫方式,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教
    2023-11-11
  • Dockerfile中multi-stage(多階段構建)詳解

    Dockerfile中multi-stage(多階段構建)詳解

    在2017年5月3日即將發(fā)行的 Docker 17.05.0-ce 中，Docker 官方提供了簡便的多階段構建 (multi-stage build) 方案，下面這篇文章主要給大家介紹了關于Dockerfile中multi-stage(多階段構建)的相關資料，需要的朋友可以參考借鑒，下面隨著小編來一起學習學習吧。
    2018-03-03
  • Docker部署Minio的實現(xiàn)方法

    Docker部署Minio的實現(xiàn)方法

    使用Docker搭建MinIO分布式對象存儲系統(tǒng)可以讓您快速搭建和配置一個高性能、可擴展的存儲系統(tǒng),本文主要介紹了Docker部署Minio的實現(xiàn)方法,感興趣的可以了解一下
    2024-01-01
  • 基于Docker搭建ELK 日志系統(tǒng)的方法

    基于Docker搭建ELK 日志系統(tǒng)的方法

    Beats，它是一個輕量級的日志收集處理工具(Agent)，占用資源少，適合于在各個服務器上搜集日志后傳輸給Logstash，官方也推薦此工具，本文重點給大家介紹Docker 搭建 ELK 日志系統(tǒng)的方法，感興趣的朋友一起看看吧
    2021-05-05
  • Docker批量刪除特定前綴的鏡像Tag的方法

    Docker批量刪除特定前綴的鏡像Tag的方法

    在 Docker 容器化技術日益普及的今天,鏡像管理成為了一個不可忽視的問題,隨著項目的發(fā)展,鏡像的數(shù)量會迅速增加,特別是當我們頻繁地構建和推送新版本時,如果不及時清理,這些鏡像會占用大量的存儲空間,影響系統(tǒng)性能,本文介紹了Docker批量刪除特定前綴的鏡像Tag的方法
    2024-11-11
  • Linux系統(tǒng)通過Docker安裝SQL?Server數(shù)據(jù)庫

    Linux系統(tǒng)通過Docker安裝SQL?Server數(shù)據(jù)庫

    這篇文章介紹了Linux系統(tǒng)通過Docker安裝SQL?Server數(shù)據(jù)庫的方法，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
    2022-03-03

最新評論