[Lipathor]

Koledzy,
1) Dedyk i docker, czy dedyk podzielony na VPSy i docker na VPSach?
2) Docker swarm, kubernetes czy mesos? (a może coś innego?)

#docker #devops

[tenji]

@Lipathor:
1. z tego co pamietam to tylko na VPS z wirtualizacja KVM docker dziala
2. kubernetes

[y.....l]

@Lipathor: @tenji: 1. Obojętnie, Docker nie ma nic wspólnego z wirtualizacja.
2. Kubernetes

[tenji]

@yggdrasil: jak docker nie ma nic wspolnego z wirtualizacja to chyba nic nie ma.
@Lipathor: OpenVZ 6 ze starym kernelem jest niekompatybilny z docker. Docker jest wspierany na OpenVZ 7 (na kernelu 3.x)

[y.....l]

@tenji: Docker to nie jest wirtualizacja. Nic nie jest tam wirtualizowane. Vps to nie tylko openVZ.

[tenji]

@yggdrasil: Boze, widzisz to i nie grzmisz

Docker to nie jest wirtualizacja. Nic nie jest tam wirtualizowane

https://en.wikipedia.org/wiki/Operating-system-level_virtualization

Vps to nie tylko openVZ.

A kto tak mowil? Napisalem o KVM i OpenVZ czyli najpopularniejszych.

[Maciek-z-Krakowa]

@tenji: W zasadzie to @yggdrasil ma sporo racji. Klasyczna wirtualizacja oparta na hypervisorach (poziomu 1 czy 2) faktycznie wirtualizuje zasoby (stąd nazwa).

Kontenery natomiast (w szczególności linuksowe) bazują na izolacji zasobów poprzez kernelowe namespace'y. Najstarsza forma konteneryzacji (czy raczej izolacji) w Linuksach to przecież chroot. Z namespace'ami poszło nam sporo poczekać i tak na prawdę izolację kontenerową tworzy para namespace'ów oraz cgroupsów (namespace'y do izolacji czy mappingu użytkowników, części filesystemu, hostname

[Lipathor]

Jednak konteneryzacja na bare - metalu nie da ci tak wysokiego poziomu bezpieczeństwa tak "out of the box". Hypervisor bardzo łądnie izoluje VMki (choć łatwo to pochrzanić provisionując je nieumiejętnie) natomiast kontenery (np. Docker) domyślnie nie tworzą absolutnie (!) żadnej warstwy bezpieczeństwa.

@Maciek-z-Krakowa: fajnie to wyjaśniłeś, właśnie o to mi chodziło. Pytanie odnośnie bezpieczeństwa, chodzi o dostawanie się z jednego kontenera do drugiego czy inne aspekty? Bo myślę nad rozwiązaniem na

[Maciek-z-Krakowa]

@Lipathor: w zasadzie wszystko masz wyjaśnione tutaj w szczegółach: https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux_atomic_host/7/html-single/container_security_guide/index

Z głowy jednak tak na szybko:

1. nie uruchamiaj kontenerów w trybie privileged (zawsze jako jakiś konkretny user)
2. najlepiej uruchamiaj kontenery w trybie RO, RW tylko na wybranych, podpiętych volumenach
3. dropuj wszelkie capabilities i zezwalaj na te faktycznie potrzebne
4. usuń suida z obrazów (jeśli posiadasz takowe binarki w obrazach): https://blog.tutum.co/2015/02/03/hardening-containers-disable-suid-programs/
5. najlepiej poustawiaj jakiś management zasobami na cgroupsach

[malkuth]

@Lipathor wiem, że temat stary, ale dodam swoje jakby ktoś kiedyś szukal

Mieszanie w to zestawienie Mesos nie ma sensu. Mesos jest resource managerem i zupełnie inaczej wygląda na nim zarządzanie zasobami.

Niemniej ciekawym pomysłem jest k8s zarządzany przez mesos (np. projekt d2iq)