И что оно значит?) крео, конверт - что ты такое?

та поди заработок в интернете

звонили мне на днях такие

всем привет) вопрос как исправить CRITICAL уязвимости после скана имеджа trivy ? нашел что некоторые до сих пор не исправлены, а не которые офикшены вот к примеру "VulnerabilityID": "CVE-2017-17458", установил это 4.5.3-1ubuntu2.1 но скан все еще ругается, как быть? может кто то имеет какие то рекомендации?

всем привет) вопрос как исправить CRITICAL уязвимости после скана имеджа trivy ? нашел что некоторые до сих пор не исправлены, а не которые офикшены вот к примеру "VulnerabilityID": "CVE-2017-17458", установил это 4.5.3-1ubuntu2.1 но скан все еще ругается, как быть? может кто то имеет какие то рекомендации?

А сам образ ты пуллил по тегу?

Там версии именно что тегами являются

А сам образ ты пуллил по тегу?

ну да, вот такой - FROM tomcat:9-jdk8

Всем привет! Я юзаю docker-compose Есть докер-образ с кодом внутри. Я поднимаю контейнер из этого образа, и маунчу туда volume, который, естественно, получает оттуда код при создании. Этот volume я потом маунчу к другим контейнерам, чтобы и они имели доступ к коду. Проблема такая: Если я сбилдил образ с новым кодом и обновляю сервис с этим контейнером в docker-compose - код остается старым. Я понимаю, что volume никуда не делся, и просто переподключается при пересоздании контейнера с тем кодом, с которым был создан сам volume. При том, удалить volume нельзя, пока его юзает хотя бы один контейнер. Единственное решение, которое я нашел - удалять к чертям все эти контейнеры, а потом и volume, и пересоздавать заново. Вопросы: 1. Можно ли как-нибудь удалить volume, который юзается другими контейнерами? (—force не работает) 2. Можно ли переинициализировать volume ( чтобы он заного принял за начальные данные код из контейнера)? 3. Можно ли заменить один volume другим, скажем, поменяв его имя? 4. Стоит ли вообще пихать код в контейнер? 5. Стоит ли шарить volume или сделать все контейнеры с кодом? 6. Стоит ли шарить volumes в 2 шага? (Сделать маунт одного контейнера с одной папкой - потом копировать код в папку другого маунта для другого контейнера и т.д. - таким образом получится по одному volume для каждого контейнера, причем удалять надо будет только один контейнер и только один volume)

1. нет. Надо удалить все контейнеры 2. да, это же просто кусок файловой системы. Делаешь там rm *, потом наполняешь файлами заново 3. нет 4. да. Для продакшена - это самое то 5. пофиг. От процесса зависит. Для девелопмента - удобнее, чтобы код шарился с хост-машиной. Для продакшена - код неизменяем, он внутри образа намертво запечен и версионирован

6. не понял зачем

короче, нужен более подробный практический пример

ща

А почему бутербродом не собирают? .. вробе глючитсч мнн что при разработке юзают что-то вроде нододнмона с горячей перезашрузкой

docker-compose.yml version: "3.5" services: web: container_name: "web_${ENV}" image: repourl/web:${ENV} expose: - "9000" networks: - qa volumes: - web-content:/var/www/web wss: container_name: "wss_${ENV}" image: repourl/web:${ENV} expose: - "9912" - "5560" networks: - qa depends_on: - web volumes: - web-content:/var/www/web command: "php bin/console core:socket:server" networks: qa: name: "${ENV}" volumes: web-content: name: "web-content_${ENV}"

что такое web и wss?

код хранится в web образе, шарится с wss и с nginx (не стал его сюда записывать)

задача какая? тесты гонять? или разработка?

Все

qa, dev, stage и prod окружения такие же будут

Если вопрос в том, нужен ли код на хостовой машине - ответ: не обязательно

тогда запекай в образы

Не хочется тот же контейнер nginx утяжелять кодом

не сильно и утяжелишь

зато кучу гемора не отгребешь

с теми же правами на файлы

А есть у кого-нибудь опыт создания пользователя для mysql, который бы имел доступ из всего скоупа private network (и только из него)?

пример давай

речь про юзера - в локалке с докером или из контейнера?

Юзера именно самого mysql

я про другое спросил

Видимо я не понял о чем вопрос. У меня есть контейнер, контейнеру назначется IP из скоупа Private Network. Когда пытаюсь из него подключиться в контейнер, получаю ошибку, что с моего хоста нет доступа в MySQL.

пока неясно

конкретно покажи как запускаешь контейнеры

Ааа, я видимо чатом промахнулся. Сам контейнер запускается в kubernetes, получаю ошибку типа "Host '10.1.3.94' is not allowed to connect to this MySQL server"

т.е. у тебя мускуль на хосте, а ты заходишь из кнтейнера?

ты это хотел сказать?

теперь смотри меджик какой

у тебя айпишники какие при подключении - контейнерные или хостовые? это важно, т.к. контейнер может выходить с любым в корп сеть наружу хоста

пока выглядит будто тебе надо добавить юзеру грант, чтобы было mysql@10.0.0.0/8 или типа того

https://stackoverflow.com/questions/11742963/how-to-grant-remote-access-to-mysql-for-a-whole-subnet

т.е. у тебя мускуль на хосте, а ты заходишь из кнтейнера?

Да

пока выглядит будто тебе надо добавить юзеру грант, чтобы было mysql@10.0.0.0/8 или типа того

Спасибо

у тебя айпишники какие при подключении - контейнерные или хостовые? это важно, т.к. контейнер может выходить с любым в корп сеть наружу хоста

А контейнер может быть в любом из 6и блоков приватных сетей?

А контейнер может быть в любом из 6и блоков приватных сетей?

типа того

Ты точно не пересекаешься сетями с существующими и у тебя бридж правильно поднялся?

Я уже ни в чем не уверен ) удалил вот этот роут 192.168.0.0/16 via 172.26.1.1 dev eth0 и сетки начали создаваться. Черт его разберет, почему.

логично же

докер не занимает сетки, про которые твой хост знает, что они существуют

это же просто роут, нет по сути никаких сеток

это же просто роут, нет по сути никаких сеток

Раз есть роут, значит где-то есть сетка

Раз есть роут, значит где-то есть сетка

+

это же просто роут, нет по сути никаких сеток

Я тебе более скажу

Если у тебя в /etc/resolv.conf есть днс сервера, то докер достаточно умен (?), Чтобы не пытаться хватать их сети

Если у тебя в /etc/resolv.conf есть днс сервера, то докер достаточно умен (?), Чтобы не пытаться хватать их сети

И, да, это не связано с route'ами

Ибо эти днс могут быть через дефолт гейтвей быть доступны

хм, интересно спасибо, буду еще смотреть

Доброго дня. Простите великодушно за столь банальный и холиварный вопрос, но какую ось по вашему мнению предпочтительнее использовать на нодах?)

Доброго дня. Простите великодушно за столь банальный и холиварный вопрос, но какую ось по вашему мнению предпочтительнее использовать на нодах?)

докер? linux only

докер? linux only

Экзактли) Вопрос какой linux выбираете вы)

я лично использую ubuntu, но не думаю что есть дистрибутив который будет подходит идеально под любые ситуации, а значит надо смотреть по ситуации

сейчас понаплодили всякие coreos и подобные

сейчас понаплодили всякие coreos и подобные

Читай == красношапка

Читай == красношапка

Ну по их доке так и написано)) Вот сейчас я на ubuntu держу всё. На pet-проекте использовал docker-swarm и coreos на 4 ноды amazon aws micro. Были сервисы traefik и portainer на одной ноде, которые за неделю поставили колом инстанс. Так же был поднят мускуль на чистой ноде и тоже встал раком через 3 дня вместе с нодой. И это при простое серверов. Вот и вопрос появился: это лыжи не едут?) После отвала инстанса к нему не подключится даже по ssh. Помогает перезагрузка. Грешу на: 1 1гб и 1 ядно - это очень мало 2 coreos - это боль и страдания 3 swarm много ест 4 aws - это плохо

Все верно

Кроме второго пункта

Все тлен, боль и страдания. А кореос молодцы. Сделали неплохой дистрибутив

Все тлен, боль и страдания. А кореос молодцы. Сделали неплохой дистрибутив

ну я его еще не юзал на норм ноде. Поэтому и решил спросить. Спасибо! Буду дальше его мучать)

всем добрый вечер, кто может помочь распарсить ошибку ERROR: for market Cannot start service market: driver failed programming external connectivity on endpoint market (f07f13bdc199f16d67dc78e7771045cfa6e4dd03fd219382f040726f7660e864): (iptables failed: iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 4020 -j DNAT --to-destination 172.100.0.12:4020 ! -i projectnameBridge: iptables: No chain/target/match by that name. (exit status 1))

У тебя точно все впоредке с модулями?

docker info сделай

lsb_release -a

lsb_release -a

centOS 7 с первого оутпата сейчас сенситивную информацию почекаю

firewalld отрубал?

iptables и прочее конфигурирует админ, его нет(

😳😳😳😳😳

у тебя же эффективно рутовые права раз у тебя есть docker

там олдскульный конфиг тачки

WARNING: bridge-nf-call-iptables is disabled WARNING: bridge-nf-call-ip6tables is disabled

оно и не будет работать

требуется донастройка хоста

ну, и девайсмаппер это тоже огонь. Нынче все overlay2 юзают