Изменения документа Docker

Редактировал(а) sevstegneev 16.06.2025 15:06
От версии 64.1
отредактировано omaltsev
на 01.10.2021 16:10
Изменить комментарий: К данной версии нет комментариев
К версии 57.1
отредактировано omaltsev
на 01.10.2021 15:10
Изменить комментарий: К данной версии нет комментариев

Сводка

Подробности

Свойства страницы
Содержимое
... ... @@ -1,20 +1,15 @@
1 -= Установка =
1 +С данной статье описаны особенности работы Docker-контейнеров в ОС ОСнова с включенными механизмами [[защиты памяти PaX MPROTECT>>]] и/или [[замкнутой программной среды (ЗПС)>>]].
2 2  
3 -{{code language="bash"}}$ sudo apt install docker.io{{/code}}
4 -Добавить пользователя в группу docker, перелогиниться.
5 -{{code language="bash"}}$ sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}}
6 -
7 -= Работа в условиях ЗПС и MPROTECT =
8 -
9 -Особенности работы Docker-контейнеров в ОС ОСнова с включенными механизмами [[защиты памяти PaX MPROTECT>>]] и/или [[замкнутой программной среды (ЗПС)>>doc:ОСнова.СЗИ.Замкнутая программная среда (ЗПС).WebHome]] состоят в следующем:
10 -
11 -Если контейнер не базируется на ОС ОСнова, для работы в режиме [[ЗПС>>doc:ОСнова.СЗИ.Замкнутая программная среда (ЗПС).WebHome]], все его содержимое должно быть подписано. Это возможно сделать через наложение дампа:
3 +Если контейнер не базируется на ОС ОСнова, для работы в режиме **замкнутой программной среды (ЗПС)**, все его содержимое должно быть подписано. Это возможно сделать через наложение дампа:
12 12  {{code language="bash"}}$ setfattr --restore=<файл дампа>{{/code}}
13 13  либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) и импортом.
14 -Например, рассмотрим [[Alpine Linux>>https://alpinelinux.org/]] (выполнять при отключенной ЗПС):
15 -{{code language="bash"}}$ docker run -it --rm --name alpine alpine ash{{/code}}
6 +Например, рассмотрим Alpine (выполнять при отключенной ЗПС):
7 +{{code language="bash"}}
8 +$ docker run -it --rm --name alpine alpine ash
9 +{{code language="bash"}}
16 16  В отдельной консоли:
17 -{{code language="bash"}}$ mkdir /tmp/alpine
11 +{{/code}}
12 +$ mkdir /tmp/alpine
18 18  $ cd /tmp/alpine
19 19  $ docker export - alpine | tar - -x
20 20  $ for f in `find . -type f`
... ... @@ -23,7 +23,8 @@
23 23  done
24 24  $ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \
25 25   --xattrs-include=security.NESSCTX \
26 - -C /tmp/alpine -c . | docker import - alpine-signed{{/code}}
21 + -C /tmp/alpine -c . | docker import - alpine-signed
22 +{{/code}}
27 27  
28 28  
29 29  Если защита памяти **PaX MPROTECT** не [[отключена>>https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A1%D0%97%D0%98/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0%20%D0%BF%D0%B0%D0%BC%D1%8F%D1%82%D0%B8/]] и контейнер не базируется на ОС ОСнова, некоторое ПО, например Java, не будет функционировать корректно в контейнере.
... ... @@ -45,7 +45,6 @@
45 45  
46 46  или через запуск контейнера в контексте безопасности **NESS**, отключающем защиту памяти **PaX MPROTECT**.
47 47  
48 -
49 49  Контейнер может иметь определенный установленный контекст безопасности **NESS**. По умолчанию контекст пустой.
50 50  Возможен запуск всех контейнеров с контекстом, отключающим защиту памяти **PaX MPROTECT**.
51 51  Для этого в файле ** /lib/systemd/system/docker.service** в конце секции **[Service]**  дописать:
... ... @@ -54,20 +54,36 @@
54 54  {{code language="bash"}}$ sudo systemctl daemon-reload
55 55  $ sudo systemctl restart docker{{/code}}
56 56  
57 -= Создание docker-образа на базе ОС ОСнова =
52 += Установка =
58 58  
59 -Для создания Docker образа на базе ОС ОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например [[https:~~/~~/dl.nppct.ru/onyx/stable/repos/>>https://dl.nppct.ru/onyx/stable/iso/]]).
54 +{{code language="bash"}}$ sudo apt install docker.io{{/code}}
55 +Добавить пользователя в группу docker, перелогиниться.
56 +{{code language="bash"}}$ sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ{{/code}}
60 60  
58 += Создание образа ОСнова =
59 +
60 +Для создания Docker образа ОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например [[https:~~/~~/dl.nppct.ru/onyx/stable/repos/>>https://dl.nppct.ru/onyx/stable/iso/]]).
61 +
61 61  {{code language="bash"}}
62 62  $ sudo apt install debootstrap
64 +
63 63  $ sudo mount /dev/cdrom /mnt
64 -(или $ sudo mount -o loop onyx-Version-disk1.iso /mnt)
66 +
67 +(или sudo mount -o loop onyx-Version-disk1.iso /mnt )
68 +
65 65  $ mkdir /tmp/image
70 +
66 66  $ cd /tmp/image
72 +
67 67  $ sudo debootstrap --variant=minbase --keyring /usr/share/apt/osnova.gpg --components=main,contrib,non-free onyx onyx /mnt
74 +
68 68  $ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima --xattrs-include=security.NESSCTX -C onyx/ -c . | docker import - onyx
76 +
69 69  $ sudo umount /mnt
70 70  {{/code}}
71 71  
72 -Запуск контейнера:
73 -{{code language="bash"}}$ docker run -it --rm onyx bash{{/code}}
80 += Тестовый запуск контейнера =
81 +
82 +{{code language="none"}}
83 +$ docker run -it --rm onyx bash
84 +{{/code}}