От версии 40.1
отредактировано Роман Воробьев
на 08.08.2021 03:08
на 08.08.2021 03:08
Изменить комментарий:
К данной версии нет комментариев
Сводка
-
Свойства страницы (2 изменено, 0 добавлено, 0 удалено)
Подробности
- Свойства страницы
-
- Автор документа
-
... ... @@ -1,1 +1,1 @@ 1 -XWiki. rvorobyev1 +XWiki.omaltsev - Содержимое
-
... ... @@ -1,61 +1,73 @@ 1 - Главнойособенностью Docker в ОСноваявляется то, что контейнер работаетврежимах [[защиты памяти PaX MPROTECT>>]] (ели не отключен) и [[замкнутойпрограммной среды (ЗПС)>>]] (если включен).1 += Установка = 2 2 3 -Если контейнер не базируется на ОС ОСнова, для работы в режиме **замкнутой программной среды (ЗПС)**, его содержимое должно быть подписано. Это возможно сделать через наложение дампа 4 -{{code language="bash"}}setfattr --restore=<dumpfile>{{/code}} 3 +{{code language="bash"}}$ sudo apt install docker.io{{/code}} 4 +Добавить пользователя в группу docker, перелогиниться. 5 +{{code language="bash"}}$ sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}} 5 5 6 - либочерезподпись7 += Работа в условиях ЗПС и MPROTECT = 7 7 9 +Особенности работы Docker-контейнеров в ОС ОСнова с включенными механизмами [[защиты памяти PaX MPROTECT>>]] и/или [[замкнутой программной среды (ЗПС)>>doc:ОСнова.СЗИ.Замкнутая программная среда (ЗПС).WebHome]] состоят в следующем: 8 8 9 -{{code language="bash"}}for f in `find . -type f` 11 +Если контейнер не базируется на ОС ОСнова, для работы в режиме [[ЗПС>>doc:ОСнова.СЗИ.Замкнутая программная среда (ЗПС).WebHome]], все его содержимое должно быть подписано. Это возможно сделать через наложение дампа: 12 +{{code language="bash"}}$ setfattr --restore=<файл дампа>{{/code}} 13 +либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) и импортом. 14 +Например, рассмотрим [[Alpine Linux>>https://alpinelinux.org/]] (выполнять при отключенной ЗПС): 15 +{{code language="bash"}}$ docker run -it --rm --name alpine alpine ash{{/code}} 16 +В отдельной консоли: 17 +{{code language="bash"}}$ mkdir /tmp/alpine 18 +$ cd /tmp/alpine 19 +$ docker export - alpine | tar - -x 20 +$ for f in `find . -type f` 10 10 do 11 11 sudo evmctl -k <закрытый ключ> ima_sign $f 12 -done{{/code}} 23 +done 24 +$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \ 25 + --xattrs-include=security.NESSCTX \ 26 + -C /tmp/alpine -c . | docker import - alpine-signed{{/code}} 27 + 13 13 14 -экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) 15 -{{code language="bash"}}tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX{{/code}} 16 -и импортом. 17 - 18 18 Если защита памяти **PaX MPROTECT** не [[отключена>>https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A1%D0%97%D0%98/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0%20%D0%BF%D0%B0%D0%BC%D1%8F%D1%82%D0%B8/]] и контейнер не базируется на ОС ОСнова, некоторое ПО, например Java, не будет функционировать корректно в контейнере. 19 19 Возможна установка в контейнер **paxrat** или ручная разметка исключений через 20 -{{code language="bash"}} $sudo setfattr -n user.pax.flags -v m <filename>{{/code}}31 +{{code language="bash"}}sudo setfattr -n user.pax.flags -v m <filename>{{/code}} 21 21 или через наложение дампа 22 -{{code language="bash"}}$ sudo setfattr --restore=<dump>{{/code}} 33 +{{code language="bash"}}sudo setfattr --restore=<dump>{{/code}} 34 + 35 +или ипользование (если в ОС образа отсутствует paxrat) 36 + 37 +{{code language="none"}} 38 +paxctl 39 +{{/code}} 40 + 41 +{{code language="none"}} 42 +chpax 43 +{{/code}} 44 + 45 + 23 23 или через запуск контейнера в контексте безопасности **NESS**, отключающем защиту памяти **PaX MPROTECT**. 24 24 48 + 25 25 Контейнер может иметь определенный установленный контекст безопасности **NESS**. По умолчанию контекст пустой. 26 26 Возможен запуск всех контейнеров с контекстом, отключающим защиту памяти **PaX MPROTECT**. 27 27 Для этого в файле ** /lib/systemd/system/docker.service** в конце секции **[Service]** дописать: 28 28 {{code language="bash"}}NESSCTX=t=30,50{{/code}} 29 29 И перечитать конфигурацию, перезапустить Docker. 30 -{{code language="bash"}}sudo systemctl daemon-reload 31 -sudo systemctl restart docker{{/code}} 54 +{{code language="bash"}}$ sudo systemctl daemon-reload 55 +$ sudo systemctl restart docker{{/code}} 32 32 33 -= Установка =57 += Создание docker-образа на базе ОС ОСнова = 34 34 35 -{{code language="bash"}}sudo apt install docker.io{{/code}} 36 -Добавить пользователя в группу docker, перелогиниться. 37 -{{code language="bash"}}sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}} 59 +Для создания Docker образа на базе ОС ОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например [[https:~~/~~/dl.nppct.ru/onyx/stable/repos/>>https://dl.nppct.ru/onyx/stable/iso/]]). 38 38 39 -= Создание образа ОСнова = 40 - 41 -Для создания образа требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию. 42 - 43 43 {{code language="bash"}} 44 -sudo apt install debootstrap 45 - 46 -sudo mount /dev/cdrom /mnt 47 - 48 -(или sudo mount -o loop onyx-Version-disk1.iso /mnt ) 49 - 50 -sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx /mnt 51 - 52 -sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - onyx 53 - 54 -sudo umount /mnt 62 +$ sudo apt install debootstrap 63 +$ sudo mount /dev/cdrom /mnt 64 +(или $ sudo mount -o loop onyx-Version-disk1.iso /mnt) 65 +$ mkdir /tmp/image 66 +$ cd /tmp/image 67 +$ sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx /mnt 68 +$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - onyx 69 +$ sudo umount /mnt 55 55 {{/code}} 56 56 57 -= Тестовый запуск контейнера = 58 - 59 -{{code language="none"}} 60 -docker run -it --rm onyx bash 61 -{{/code}} 72 +Запуск контейнера: 73 +{{code language="bash"}}$ docker run -it --rm onyx bash{{/code}}