не могу понять, где тут внезапно нарисовалась привязка к архитектуре?
arm, не привязка?
central
Vladimir
Почему руками все это отрабатывает?
George
это РАЗНЫЕ образы. Под одним тегом. Сюрприз, да?
Vladimir
О_О
George
https://medium.com/@carlosedp/cross-building-arm64-images-on-docker-desktop-254d1e0bc1f9
George
может быть поможет
Vladimir
Воооу, просто мир новый открыли! Спасибо!!
Den
Egor
George
третья строчка
George
я бы на месте РХЕЛа тоже расстроился бы
Den
я бы на месте РХЕЛа тоже расстроился бы
что бы дали на зарегестрированном поставить, сначала надо обкатать вне продовых серверов
George
они идиоты?
George
какие риски дать регистрацию для установки пакетов?
George
моя не понимайт
Den
или что
George
платная подписка
George
возможно можно сделать локальное зеркало и ставить оттуда, но я хз. Это же кровавый энтерпрайз
Den
чувак который за это шарит в отпуске
George
они должны тебе за вредность приплачивать и молоко давать
Den
судя по тому что я вижу на стаке, там всё было ок, просто докер CE вырезали нахер для установки
Den
они должны тебе за вредность приплачивать и молоко давать
моя инициатива перевести на структурное логгирование на ElasticKibana...
Den
поэтому и админскую фигню пришлось делать
Den
на бубунте всё встало а на тырпрайзе шаг в лево и грабли
Igor
Всем привет. Кто-то сталкивался с проблемой:
1. Машина установлена в ipv6-only сети
2. На машине докер установлен как обычно
3!!. Из докера нельзя никуда достучаться по сети
George
логично, да
George
https://docs.docker.com/v17.09/engine/userguide/networking/default_network/ipv6/
George
By default, the Docker daemon configures the container network for IPv4 only.
Igor
By default, the Docker daemon configures the container network for IPv4 only.
да но тут вступает второй вопрос , я заменил все как по инструкции, но
ipv6 в контейнере автоматом не появляется
UPD: появился , но с огромной задержкой. вопрос снят. Хоть это и не помогло
George
Anton
ipv6 это сложно
+!
лютая наркомания, особенно если привыкнуть к работе за файрволом и потом пытаться думать "вот я сейчас легко трафик зафильтрую"
George
лехко? ЩАЗ
Anonymous
Всем привет, кто может подсказать
Есть ли возможность сделать, что бы в контейнер Debian/Alpine нельзя было сделать exec
Anonymous
Тоесть в контейнере исходники лежат, нужно что бы ими не смогли завладеть
Vladimir
не храните исходники в контейнере..
Vladimir
https://github.com/moby/moby/issues/8664
Alexey
Тоесть в контейнере исходники лежат, нужно что бы ими не смогли завладеть
исходники чего? ) на каком ЯП?
и кто завладеть? )
Anton
Тоесть в контейнере исходники лежат, нужно что бы ими не смогли завладеть
вас не спасет запрет exec. файловая система контейнера распаковывается на диск хоста и желающий посмотреть - посмотрит
Anonymous
https://github.com/moby/moby/issues/8664
Данный issue смотрел
Ещё нашёл вариант
docker exec :id -it /bin/rm -R /bin/*
Но в данном случае могут сделать docker cp
Anonymous
исходники чего? ) на каком ЯП?
и кто завладеть? )
Js статика, тоесть если данные с контейнера могут скачать, единственный вариант получается на стороне кода прятать
Anton
Js статика, тоесть если данные с контейнера могут скачать, единственный вариант получается на стороне кода прятать
посмотрите обфускацию / минификацию тогда. после них восстановление кода настолько дорогое становится, что проще переписать
Anonymous
Alexey
Js статика, тоесть если данные с контейнера могут скачать, единственный вариант получается на стороне кода прятать
так а вектор атаки какой рассматривается? ))
George
Всем привет, кто может подсказать
Есть ли возможность сделать, что бы в контейнер Debian/Alpine нельзя было сделать exec
docker pull - дальше легко сконвертить в тар и распаковать
George
exec не нужен )
Anonymous
так а вектор атаки какой рассматривается? ))
Есть root доступ к хосту, на котором запускается контейнер
Vladimir
как можно запретить что то руту?
George
можно
George
на уровне хост системы. Сделать ограниченного рута
Vladimir
мы щас не про рут в контейнере
Vladimir
а про хост систему как раз
George
да, можно ограничить
Igor
Есть root доступ к хосту, на котором запускается контейнер
то есть мы защищаемся от хакера с root доступом на хосте ?
Anonymous
то есть мы защищаемся от хакера с root доступом на хосте ?
если так можно выразиться, то защищаемся от человека, который вдруг захочет достать исходники(js статика, которую сервит nginx) из контейнера,
контейнер запускает человек на своем хосте
George
другой вопрос, что это НАФИГ НЕ НАДО
Igor
если так можно выразиться, то защищаемся от человека, который вдруг захочет достать исходники(js статика, которую сервит nginx) из контейнера,
контейнер запускает человек на своем хосте
так у вас исходники должны же работать в этом контейнере ? А не лежать мертвым грузом
Vladimir
вы хоть пруфом кинули бы..
George
selinux ни на что не намекает?
George
механизм caps ядра?
George
https://habr.com/ru/news/t/470249/
George
как бы все понятно
Vladimir
setenforce 0
Vladimir
как бы нет)
George
короче, к вопросу топикстартера это отношения не имеет
Vladimir
конечно, детсадовец может выключить селинукс из под рута
Anonymous
посмотрите обфускацию / минификацию тогда. после них восстановление кода настолько дорогое становится, что проще переписать
в таком случае получается, что лучше будет смотреть в данном направлении
Anonymous
спасибо всем за работу мозгом