От версии 27.1
отредактировано Роман Воробьев
на 02.08.2021 02:08
на 02.08.2021 02:08
Изменить комментарий:
К данной версии нет комментариев
К версии 52.1
отредактировано Роман Воробьев
на 08.08.2021 04:08
на 08.08.2021 04:08
Изменить комментарий:
К данной версии нет комментариев
Сводка
-
Свойства страницы (3 изменено, 0 добавлено, 0 удалено)
Подробности
- Свойства страницы
-
- Родительский документ
-
... ... @@ -1,1 +1,1 @@ 1 - ОСнова.Состав и ПО.WebHome1 +Sandbox.WebHome - Теги
-
... ... @@ -1,1 +1,1 @@ 1 - Docker|pax|mprotect|ЗПС|paxrat1 +docker|pax|mprotect|ЗПС|paxrat - Содержимое
-
... ... @@ -1,102 +1,83 @@ 1 1 Главной особенностью Docker в ОСнова является то, что контейнер работает в режимах [[защиты памяти PaX MPROTECT>>]] (ели не отключен) и [[замкнутой программной среды (ЗПС)>>]] (если включен). 2 2 3 +Если контейнер не базируется на ОС ОСнова, для работы в режиме **замкнутой программной среды (ЗПС)**, его содержимое должно быть подписано. Это возможно сделать через наложение дампа 4 +{{code language="bash"}}$ setfattr --restore=<файл дампа>{{/code}} 3 3 4 - ЕсликонтейнернеОСнова,дляработыврежиме**замкнутой программной среды (ЗПС)**, егосодержимоедолжнобытьподписано. Этовозможносделатьчерезналожениедампа6 +либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) и импортом. 5 5 6 -{{code language="none"}} 7 -setfattr --restore=<dumpfile> 8 -{{/code}} 8 +Например, рассмотрим Alpine (выполнять при отключенной ЗПС): 9 + 9 9 10 -либо через подпись 11 - 12 12 {{code language="none"}} 13 -evmctl 14 -{{/code}} 12 +$ docker run -it --rm --name alpine alpine ash 15 15 16 -экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов, 17 - 18 18 19 -{{code language="none"}} 20 -tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX 15 +(в другой консоли) 16 +$ mkdir /tmp/alpine 17 +$ cd /tmp/alpine 18 +$ docker export - alpine | tar - -x 21 21 20 +{{/code}} 22 22 22 +{{code language="bash"}} 23 +$ for f in `find . -type f` 24 +do 25 +sudo evmctl -k <закрытый ключ> ima_sign $f 26 +done 23 23 {{/code}} 24 24 25 25 26 -)и импортом. 27 - 28 - 29 -Если защита памяти **PaX MPROTECT** не отключена [[(глобальное отключение через mprotect=off в командной строке ядра или в конфиге grub, работает для всех ядер кроме hardened)>>https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A1%D0%97%D0%98/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0%20%D0%BF%D0%B0%D0%BC%D1%8F%D1%82%D0%B8/]] и контейнер не ОСнова, некоторое ПО работать в нем не будет. Например Java. 30 - 31 -Возможна установка в контейнер **paxrat** 32 - 33 -или ручная разметка исключений через 30 +{{code language="none"}}$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \ 31 + --xattrs-include=security.NESSCTX \ 32 + -C onyx/ -c . | docker import - alpine-signed{{/code}} 34 34 35 35 36 -{{code language="none"}} 37 -setfattr -n user.pax.flags -v m <filename> 38 38 39 -{{/code}} 40 - 36 +Если защита памяти **PaX MPROTECT** не [[отключена>>https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A1%D0%97%D0%98/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0%20%D0%BF%D0%B0%D0%BC%D1%8F%D1%82%D0%B8/]] и контейнер не базируется на ОС ОСнова, некоторое ПО, например Java, не будет функционировать корректно в контейнере. 37 +Возможна установка в контейнер **paxrat** или ручная разметка исключений через 38 +{{code language="bash"}}sudo setfattr -n user.pax.flags -v m <filename>{{/code}} 41 41 или через наложение дампа 40 +{{code language="bash"}}sudo setfattr --restore=<dump>{{/code}} 41 +или через запуск контейнера в контексте безопасности **NESS**, отключающем защиту памяти **PaX MPROTECT**. 42 42 43 -{{code language="none"}} 44 -setfattr --restore=<dump> 45 -{{/code}} 46 - 47 -или через 48 - 49 -{{code language="none"}} 50 -chpax, paxctl 51 -{{/code}} 52 - 53 -или через запуск контейнера в контексте безопасности **NESS**, отключающем защиту памяти **Pax MPROTECT**. 54 - 55 - 56 - 57 57 Контейнер может иметь определенный установленный контекст безопасности **NESS**. По умолчанию контекст пустой. 58 - 59 59 Возможен запуск всех контейнеров с контекстом, отключающим защиту памяти **PaX MPROTECT**. 60 - 61 61 Для этого в файле ** /lib/systemd/system/docker.service** в конце секции **[Service]** дописать: 46 +{{code language="bash"}}NESSCTX=t=30,50{{/code}} 47 +И перечитать конфигурацию, перезапустить Docker. 48 +{{code language="bash"}}$ sudo systemctl daemon-reload 49 +$ sudo systemctl restart docker{{/code}} 62 62 51 += Установка = 63 63 64 -{{code language=" none"}}65 - NESSCTX=t=30,5066 -{{/code}} 53 +{{code language="bash"}}$ sudo apt install docker.io{{/code}} 54 +Добавить пользователя в группу docker, перелогиниться. 55 +{{code language="bash"}}$ sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}} 67 67 68 - ИперезагрузитьDocker.57 += Создание образа ОСнова = 69 69 70 -{{code language="none"}} 71 -sudo systemctl daemon-reload 72 -sudo systemctl restart docker 73 -{{/code}} 59 +Для создания Docker образа ОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например [[https:~~/~~/dl.nppct.ru/onyx/stable/repos/>>https://dl.nppct.ru/onyx/stable/iso/]]). 74 74 75 -= Установка = 61 +{{code language="bash"}} 62 +$ sudo apt install debootstrap 76 76 77 - ==64 +$ sudo mount /dev/cdrom /mnt 78 78 79 -{{code language="none"}} 80 -sudo apt install docker.io 81 -{{/code}} 66 +(или sudo mount -o loop onyx-Version-disk1.iso /mnt ) 82 82 83 - Добавитьпользователя в группу docker,перелогиниться.68 +$ mkdir /tmp/image 84 84 85 -{{code language="none"}} 86 -sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ 87 -{{/code}} 70 +$ cd /tmp/image 88 88 89 -= СозданиеобразаОСнова=72 +$ sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx /mnt 90 90 91 -{{code language="none"}} 92 -sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx http://ftp.ct/OSNova/testing/onyx/mounted-iso-main-disk1 74 +$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - onyx 93 93 94 -sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima--xattrs-include=security.NESSCTX -C onyx/-c . | docker import - onyx76 +$ sudo umount /mnt 95 95 {{/code}} 96 96 97 97 = Тестовый запуск контейнера = 98 98 99 - 100 100 {{code language="none"}} 101 -docker run -it onyx bash 82 +$ docker run -it --rm onyx bash 102 102 {{/code}}