Docker Study - 편집 역사

175.196.251.92: /* 2016년 8월 24일 */

2016-09-22T09:19:14Z

2016년 8월 24일

@@ 91번째 줄: / 91번째 줄: @@
 == 2016년 8월 24일 ==
 * 유용 링크: https://github.com/wscherphof/oracle-12c#build < 설명: '''Oracledb''' 를 '''Oracle Linux 7 Docker image'''에서 설치하고 돌릴 수 있게 Dockerfile들을 제공한다. 자세한 것은 직접 방문해서 보면 된다. 친절하게 다 안내가 되어있다. 개발자가 사용한 '''Oracledb'''는  '''Oracle Database 12c Enterprise Edition Release 12.1.0.2.0''' 에서 실험이 진행되었다.
 * vagrant 와 비슷 = http://www.libvirt.org/ 가상머신 관리 application. vagrant는 virtualbox를 지원.
 * coreos https://discorery.etcd.io/<token> 이 token을 내가 원하는대로 생성이 가능? 아니면 자릿수만 맞춰서 난수로 clustering 서버에 제공?

imported>Sukso96100: Linux Capability 관련 항목 추가

2016-09-21T12:19:34Z

Linux Capability 관련 항목 추가

← 이전 판		2016년 9월 21일 (수) 12:19 판
21번째 줄:		21번째 줄:

	Security https://docs.docker.com/engine/security/security/		Security https://docs.docker.com/engine/security/security/

			도커 컨테이너는 보통 제한된 Capability 를 가지고 실행된다.

			capability 는 root/non-root 디렉터리를 fine-grained 접근 제어 시스템으로 바꾼다.
			(루트 기반의 시스템 관리 권한은 각 앱이나 프로세스별 권한으로 세분화 한다.)
			예 : 웹서버가 80번 포트에 바인드 할때, 루트로 바인드 하지 않고,
			net_bind_service 같은 전용 권한으로 바인드 한다.

			보통의 서버는 많은 프로세스를 루트 권한으로 실행해야 하는 경우가 많다.

			도커 컨테이너 내부에서 대부분의 경우 루트 권한이 필요하지 않다.
			ssh 연결은 도커 호스트 머신에 의해 실행된다.
			cron 은 플렛폼 전체적으로 실행되기 보단, 사용자 프로세스로 실행되어야 한다
			로그 관리는 도커 또는 Loggy, Splunk 같은 제3자 서비스로 관리된다.
			하드웨어 관리는 udev 로 실행 되어야 한다.
			네트워크 관리는 도커 컨테이너 밖에서 일어난다.

			그러므로 컨테이너의 루트는 호스트의 루트보다 훨씬 적은 privileges 를 가지고 있다.
			예를 들어 아래와 같은 것이 가능해진다.
			모든 마운트 작업 거부
			raw 소켓 접근 거부
			일부 파일시스템 작업 거부
			모듈 로딩 거부
			(기타 등등...)

			이는 침입자가 컨테이너에서 루트로 상승을 한다 해도 큰 영향을 주지 않음을 의미한다.
			도커 컨체이너에서는 기본적으로 아래와 같이 필요한 capability 를 제외하고 모두 드롭한다.

			Linux Capability : http://man7.org/linux/man-pages/man7/capabilities.7.html
			Arch Wiki - Capability : https://wiki.archlinux.org/index.php/Capabilities
			Docker Docs - Linux Kernel Capabilities : https://docs.docker.com/engine/security/security/#/linux-kernel-capabilities
			Default Docker Container Capability List - https://github.com/docker/docker/blob/master/oci/defaults_linux.go#L64-L79
			Docker Run Reference - Capability 추가 및 제거 옵션 : https://docs.docker.com/engine/reference/run/#/runtime-privilege-and-linux-capabilities


	== 2016년 9월 7일 ==		== 2016년 9월 7일 ==

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T12:09:52Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 12:09 판
18번째 줄:		18번째 줄:

	ZFS http://www.howtogeek.com/175159/an-introduction-to-the-z-file-system-zfs-for-linux/<br/>		ZFS http://www.howtogeek.com/175159/an-introduction-to-the-z-file-system-zfs-for-linux/<br/>
	https://docs.docker.com/engine/userguide/storagedriver/zfs-driver/		https://docs.docker.com/engine/userguide/storagedriver/zfs-driver/<br/>

			Security https://docs.docker.com/engine/security/security/

	== 2016년 9월 7일 ==		== 2016년 9월 7일 ==

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:54:17Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:54 판
17번째 줄:		17번째 줄:
	아직 rename은 특정 조건에서 제대로 안될수도 있음.<br/>		아직 rename은 특정 조건에서 제대로 안될수도 있음.<br/>

	ZFS<br/>		ZFS http://www.howtogeek.com/175159/an-introduction-to-the-z-file-system-zfs-for-linux/<br/>
	https://docs.docker.com/engine/userguide/storagedriver/zfs-driver/		https://docs.docker.com/engine/userguide/storagedriver/zfs-driver/

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:46:12Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:46 판
16번째 줄:		16번째 줄:
	whiteout이 마치 지워진것처럼 인식하게 함.<br/>		whiteout이 마치 지워진것처럼 인식하게 함.<br/>
	아직 rename은 특정 조건에서 제대로 안될수도 있음.<br/>		아직 rename은 특정 조건에서 제대로 안될수도 있음.<br/>

			ZFS<br/>
			https://docs.docker.com/engine/userguide/storagedriver/zfs-driver/

	== 2016년 9월 7일 ==		== 2016년 9월 7일 ==

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:31:28Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:31 판
10번째 줄:		10번째 줄:
	storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>		storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>

	AUFS<br/>		AUFS http://www.joinc.co.kr/w/man/12/docker/aufs<br/>
	union mount<br/>		union mount<br/>
	CoW : 변경점만 write한다		CoW : 변경점만 write한다

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:29:22Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:29 판
13번째 줄:		13번째 줄:
	union mount<br/>		union mount<br/>
	CoW : 변경점만 write한다		CoW : 변경점만 write한다
	whitout : Image layer는 R/O이니 whiteout이 마치 지워진것처럼 인식하게 함.		whitout : Image layer는 R/O이니<br/>
			whiteout이 마치 지워진것처럼 인식하게 함.<br/>
			아직 rename은 특정 조건에서 제대로 안될수도 있음.<br/>

	== 2016년 9월 7일 ==		== 2016년 9월 7일 ==

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:27:35Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:27 판
10번째 줄:		10번째 줄:
	storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>		storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>

			AUFS<br/>
	union mount<br/>		union mount<br/>
	CoW : 변경점만 write한다		CoW : 변경점만 write한다
			whitout : Image layer는 R/O이니 whiteout이 마치 지워진것처럼 인식하게 함.

	== 2016년 9월 7일 ==		== 2016년 9월 7일 ==

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:25:55Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:25 판
10번째 줄:		10번째 줄:
	storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>		storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>

	union mount		union mount<br/>
	CoW : 변경점만 write한다		CoW : 변경점만 write한다

imported>Janghe11: /* 2016년 9월 21일 */

2016-09-21T11:25:47Z

2016년 9월 21일

← 이전 판		2016년 9월 21일 (수) 11:25 판
10번째 줄:		10번째 줄:
	storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>		storage drive는 여러가지가 제공되나, host machine에서는 하나만 사용해야 함.<br/>

			union mount
	CoW : 변경점만 write한다		CoW : 변경점만 write한다