Harbor в помощь

Сталкивался ли кто-нибудь с такими уязвимостями? И тестировал кто-нибудь СЗИ средства защиты от этого?

я ссылку на CVE давал

я ссылку на CVE давал

Увидел, спасибо

Сталкивался ли кто-нибудь с такими уязвимостями? И тестировал кто-нибудь СЗИ средства защиты от этого?

https://latesthackingnews.com/2019/02/18/docker-container-escape-vulnerability-with-poc-cve-2019-5736/

Благодарю

повторюсь, что ЭТО ОДИН ИЗ CVE. Их там порядка 10-ка было

Докер же через kernel хоста работает?

вообще такое гуглить надо, такие вещи обычно пытаются закрыть как можно скорее

Докер же через kernel хоста работает?

ну, он его конфигурит.

уязвимости кернела можно проэксплоитить в контейнере?

Рили запустить контейнер, чтоб он в моей сети был?

А не в докеровской

Рили запустить контейнер, чтоб он в моей сети был?

host network mode

оно?

host network mode

если тебе нужен localhost То да

оно?

Вроде да, спс

Да, робит)

А, стоп, он забрал айпи хоста😃

Хотя это тоже подойдет

отжал

А, стоп, он забрал айпи хоста😃

ну а что ты хотел в locahost-e

ну а что ты хотел в locahost-e

Логично)

Хочу сделать pxe Linux server и вот теперь не знаю

Надо чёт пробрасывать и дополнительные ключи ставить если я сделал - - network host?

а через как ты запускаешь?

Надо чёт пробрасывать и дополнительные ключи ставить если я сделал - - network host?

если ты сделал network host то не надо порты пробрасывать

если ты сделал network host то не надо порты пробрасывать

Я вот тож так подумал

а через как ты запускаешь?

Непонимать тебя

Непонимать тебя

Docker-compose файл или руками, командой?

Я говорить на русском

Docker-compose файл или руками, командой?

Я делать докер ран.....

Я делать докер ран.....

Делать докер ран не демонизируя?

Моя больно, моя не хотеть кровь из глаз

Делать докер ран не демонизируя?

Православнируя только

Я не знать что такое демонизировать

-d

Я не знать что такое демонизировать

Вам стоит узнать, что Linux полон демонов

Run in background

Понял

Эт я в курсе

Я так делал потому ша собирал все руками своими золотыми

А не готовый юзал

Никаких докер файлов и образов

Я пока не уверен что правильно все сделал и буит работать

тебя бы кто-нибудь здесь уволил

хотя если студент, то похвально

Где тут?)

хотя если студент, то похвально

А что не так?

А что не так?

https://docs.docker.com/develop/

Коекретнее

https://docs.docker.com/develop/

Глупости, когда ты толком не знаешь чо тебе нужно делать и что использовать

Я же предварительно прост делаю(играюсь, изучаю, кнопочки нажимаю), а потом уже в случае успеха норм версию запилю

Всем привет, А кто-нибудь настраивал такую тему? Хочется чтобы когда пулишь latest - скачивалась конкретная цифровая версия, которой сейчас помечен latest контейнер. Тогда можно везде в скриптах оставить latest, а в портейнере и в консоли у всех будет фиксированная версия, с которой понятно что делать. Мб скриптец кто-нить такой писал или на регистри каком-нибудь такое настраивается?

Всем привет, А кто-нибудь настраивал такую тему? Хочется чтобы когда пулишь latest - скачивалась конкретная цифровая версия, которой сейчас помечен latest контейнер. Тогда можно везде в скриптах оставить latest, а в портейнере и в консоли у всех будет фиксированная версия, с которой понятно что делать. Мб скриптец кто-нить такой писал или на регистри каком-нибудь такое настраивается?

переформулируй. выглядит странно

Сейчас есть такой кейс: - много докер образов - билдятся по триггеру по пушу - каждый билд помечает образ конкретной версей в формате x.y.z.1235 - есть несколько стендов с докер-компоузами, в которых везде прописан latest Хочется чтобы в компоузах так и осталось и сделав docker-compose down и потом up - стучалось в latest, определяло какому числовому тегу он соответствует и раскатывало его

Сейчас есть такой кейс: - много докер образов - билдятся по триггеру по пушу - каждый билд помечает образ конкретной версей в формате x.y.z.1235 - есть несколько стендов с докер-компоузами, в которых везде прописан latest Хочется чтобы в компоузах так и осталось и сделав docker-compose down и потом up - стучалось в latest, определяло какому числовому тегу он соответствует и раскатывало его

docker-compose pull docker-compose up —force-recreate

кажись даже не нужно остонавливать - композ подтянет латест слои и перезапустит

если 1 сервис - тогде форс-рекриейт имя_контейнера

ребят

привет

скажите gunicorn работает без uwsgi

docker-compose pull docker-compose up —force-recreate

но тогда будут запущены контейнеры с имэдами тегом лейтест

т.е у меня есть фласк

а хочется чтобы была зафиксирована конкретная весрия которая запущена, чтобы если что то не пашет - то можно было с ней разбираться предметно

и я запускаю докер композ с такой командой command: "gunicorn src:app --bind 0.0.0.0:10014 --workers 2 --timeout 240"

а - толкьо через юзания тегов в конфиге и переписываения конфига тем же самым дженкинсом

и получаю ошибку вида: gunicorn.errors.HaltServer: <HaltServer 'App failed to load.' 4>

композ поддерживает теги...

а хочется чтобы была зафиксирована конкретная весрия которая запущена, чтобы если что то не пашет - то можно было с ней разбираться предметно

оркестрацию строй

вообще компост выкинуть - это раз

но если ты не можешь - создаешь файлик .env В нем определяешь переменную TAG ставишь ей значение = sha образа Или тег в виде семвера Далее. в докер-компоузе указываешь image: как blablabla:${TAG}

получаешь достаточно удобно управляемую штуку (через файл .env)

> Хочется чтобы в компоузах так и осталось и сделав docker-compose down и потом up - стучалось в latest, определяло какому числовому тегу он соответствует и раскатывало его так не работает. Только если ты на баше накостыляешь.....

Накостылять то не проблема, думал мб есть готовое решение какое-нибудь

Спасибо за ответ :)

Всем привет! Подскажите пожалуйста, не могу понять, как сделать следующее: есть несколько отдельный docker-compose, в каждом из них разные сервисы. В 1 из них - база данных нужно сделать её достпной для нескольких других сервисов, в других docker-compose попробовал сетью поиграться, хоть убей, другие сервисы базу не находят

вот пример: version: "3.5" services: db: image: kartoza/postgis:latest container_name: db env_file: .env-db ports: ['25432:5432'] networks: - app api: container_name: api image: api build: context: . dockerfile: Dockerfile expose: - "{{api_container_port}}" ports: ['{{api_container_port}}:{{api_container_port}}'] volumes: ['.:/api'] networks: - app depends_on: - db links: - db restart: on-failure networks: app: name: application в другом docker compose пишу: version: "3" services: dispatcher: container_name: dispatcher image: dispatcher build: context: . dockerfile: Dockerfile expose: - "{{dispatcher_container_port}}" ports: ['{{dispatcher_container_port}}:{{dispatcher_container_port}}'] networks: - app volumes: ['.:/dispatcher'] restart: on-failure но получаю ошибку: {"changed": false, "msg": "Configuration error - Service \"dispatcher\" uses an undefined network \"application\""}

Всем привет! Подскажите пожалуйста, не могу понять, как сделать следующее: есть несколько отдельный docker-compose, в каждом из них разные сервисы. В 1 из них - база данных нужно сделать её достпной для нескольких других сервисов, в других docker-compose попробовал сетью поиграться, хоть убей, другие сервисы базу не находят

Варианты

1. Склеить компоузы docker-compose -f 1.yaml -f 2.yaml up 2. Определи внешнюю сеть docker network create lalala А затем в каждом компоузе определи ее как external: компоуз не будет ее создавать. И прицепи к ней нужные сервисы

Чем шаблонизируешь компоуз ?