От версии 62.1
отредактировано omaltsev
на 01.10.2021 15:10
на 01.10.2021 15:10
Изменить комментарий:
К данной версии нет комментариев
К версии 46.1
отредактировано Роман Воробьев
на 08.08.2021 03:08
на 08.08.2021 03:08
Изменить комментарий:
К данной версии нет комментариев
Сводка
-
Свойства страницы (2 изменено, 0 добавлено, 0 удалено)
Подробности
- Свойства страницы
-
- Автор документа
-
... ... @@ -1,1 +1,1 @@ 1 -XWiki.o maltsev1 +XWiki.rvorobyev - Содержимое
-
... ... @@ -1,73 +1,70 @@ 1 - =Установка=1 +Главной особенностью Docker в ОСнова является то, что контейнер работает в режимах [[защиты памяти PaX MPROTECT>>]] (ели не отключен) и [[замкнутой программной среды (ЗПС)>>]] (если включен). 2 2 3 -{{code language="bash"}}$ sudo apt install docker.io{{/code}} 4 -Добавить пользователя в группу docker, перелогиниться. 5 -{{code language="bash"}}$ sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}} 3 +Если контейнер не базируется на ОС ОСнова, для работы в режиме **замкнутой программной среды (ЗПС)**, его содержимое должно быть подписано. Это возможно сделать через наложение дампа 4 +{{code language="bash"}}setfattr --restore=<dumpfile>{{/code}} 6 6 7 -= Работа в условиях ЗПС и MPROTECT = 6 +либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) 7 + 8 8 9 -Особенности работы Docker-контейнеров в ОС ОСнова с включенными механизмами [[защиты памяти PaX MPROTECT>>]] и/или [[замкнутой программной среды (ЗПС)>>doc:ОСнова.СЗИ.Замкнутая программная среда (ЗПС).WebHome]] состоят в следующем: 9 +{{code language="none"}} 10 +sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - <имя подписанного образа> 10 10 11 -Если контейнер не базируется на ОС ОСнова, для работы в режиме [[ЗПС>>doc:ОСнова.СЗИ.Замкнутая программная среда (ЗПС).WebHome]], все его содержимое должно быть подписано. Это возможно сделать через наложение дампа: 12 -{{code language="bash"}}$ setfattr --restore=<файл дампа>{{/code}} 13 -либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) и импортом. 14 -Например, рассмотрим Alpine (выполнять при отключенной ЗПС): 15 -{{code language="bash"}}$ docker run -it --rm --name alpine alpine ash{{/code}} 16 -В отдельной консоли: 17 -{{code language="bash"}}$ mkdir /tmp/alpine 18 -$ cd /tmp/alpine 19 -$ docker export - alpine | tar - -x 20 -$ for f in `find . -type f` 12 + 13 +docker export - <имя контейнера> | tar - -xf 14 +{{/code}} 15 + 16 +{{code language="bash"}} 17 +for f in `find . -type f` 21 21 do 22 22 sudo evmctl -k <закрытый ключ> ima_sign $f 23 23 done 24 -$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \ 25 - --xattrs-include=security.NESSCTX \ 26 - -C /tmp/alpine -c . | docker import - alpine-signed{{/code}} 27 - 21 +{{/code}} 28 28 23 + 24 +{{code language="none"}}sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - <имя подписанного образа>{{/code}} 25 +и импортом. 26 + 29 29 Если защита памяти **PaX MPROTECT** не [[отключена>>https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A1%D0%97%D0%98/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0%20%D0%BF%D0%B0%D0%BC%D1%8F%D1%82%D0%B8/]] и контейнер не базируется на ОС ОСнова, некоторое ПО, например Java, не будет функционировать корректно в контейнере. 30 30 Возможна установка в контейнер **paxrat** или ручная разметка исключений через 31 31 {{code language="bash"}}sudo setfattr -n user.pax.flags -v m <filename>{{/code}} 32 32 или через наложение дампа 33 33 {{code language="bash"}}sudo setfattr --restore=<dump>{{/code}} 34 - 35 -или ипользование (если в ОС образа отсутствует paxrat) 36 - 37 -{{code language="none"}} 38 -paxctl 39 -{{/code}} 40 - 41 -{{code language="none"}} 42 -chpax 43 -{{/code}} 44 - 45 - 46 46 или через запуск контейнера в контексте безопасности **NESS**, отключающем защиту памяти **PaX MPROTECT**. 47 47 48 - 49 49 Контейнер может иметь определенный установленный контекст безопасности **NESS**. По умолчанию контекст пустой. 50 50 Возможен запуск всех контейнеров с контекстом, отключающим защиту памяти **PaX MPROTECT**. 51 51 Для этого в файле ** /lib/systemd/system/docker.service** в конце секции **[Service]** дописать: 52 52 {{code language="bash"}}NESSCTX=t=30,50{{/code}} 53 53 И перечитать конфигурацию, перезапустить Docker. 54 -{{code language="bash"}} $sudo systemctl daemon-reload55 - $sudo systemctl restart docker{{/code}}39 +{{code language="bash"}}sudo systemctl daemon-reload 40 +sudo systemctl restart docker{{/code}} 56 56 42 += Установка = 43 + 44 +{{code language="bash"}}sudo apt install docker.io{{/code}} 45 +Добавить пользователя в группу docker, перелогиниться. 46 +{{code language="bash"}}sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}} 47 + 57 57 = Создание образа ОСнова = 58 58 59 -Для создания Docker образа на базеОСОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например [[https:~~/~~/dl.nppct.ru/onyx/stable/repos/>>https://dl.nppct.ru/onyx/stable/iso/]]).50 +Для создания Docker образа ОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например [[https:~~/~~/dl.nppct.ru/onyx/stable/repos/>>https://dl.nppct.ru/onyx/stable/iso/]]). 60 60 61 61 {{code language="bash"}} 62 -$ sudo apt install debootstrap 63 -$ sudo mount /dev/cdrom /mnt 64 -(или $ sudo mount -o loop onyx-Version-disk1.iso /mnt) 65 -$ mkdir /tmp/image 66 -$ cd /tmp/image 67 -$ sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx /mnt 68 -$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - onyx 69 -$ sudo umount /mnt 53 +sudo apt install debootstrap 54 + 55 +sudo mount /dev/cdrom /mnt 56 + 57 +(или sudo mount -o loop onyx-Version-disk1.iso /mnt ) 58 + 59 +sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx /mnt 60 + 61 +sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - onyx 62 + 63 +sudo umount /mnt 70 70 {{/code}} 71 71 72 -Запуск контейнера: 73 -{{code language="bash"}}$ docker run -it --rm onyx bash{{/code}} 66 += Тестовый запуск контейнера = 67 + 68 +{{code language="none"}} 69 +docker run -it --rm onyx bash 70 +{{/code}}