Download as PDF, PPTX
![12
$ docker run -it centos
Unable to find image 'centos:latest' locally
latest: Pulling from library/centos
Digest:
sha256:26f74cefad82967f97f3eeeef88c1b6262f9b42bc96f2ad61d6f3fdf544759b8
Status: Downloaded newer image for centos:latest
[root@085d5f02743d /]# mkdir secret
[root@085d5f02743d /]# echo 'himitsu' > secret/password.txt
[zem@docker ~]$ sudo find /var/lib/docker -name password.txt
/var/lib/docker/overlay/d04efbadefe24a7a2238d943fc18e6036e01234fde1da9b7363c56f
121f6de77/upper/secret/password.txt
/var/lib/docker/overlay/d04efbadefe24a7a2238d943fc18e6036e01234fde1da9b7363c56f
121f6de77/merged/secret/password.txt
[zem@docker ~]$ sudo cat
/var/lib/docker/overlay/d04efbadefe24a7a2238d943fc18e6036e01234fde1da9b7363c56f
121f6de77/merged/secret/password.txt
himitsu](https://image.slidesharecdn.com/developerssummit2017kyusyudist-171002054910/75/Docker-2017-12-2048.jpg)
![33
$ docker history simplepot:latest
IMAGE CREATED CREATED BY SIZE COMMENT
0b9e5d88390d About an hour ago /bin/sh -c #(nop) CMD ["/usr/sbin/sshd" "... 0B
99d01bb57aa0 About an hour ago /bin/sh -c #(nop) EXPOSE 22/tcp 0B
8431c888c464 About an hour ago /bin/sh -c /usr/bin/ssh-keygen -q -t rsa -... 2.06kB
d17fb17a5f1e About an hour ago /bin/sh -c echo "root:admin" | chpasswd 1kB
fae9166d1392 About an hour ago /bin/sh -c yum -y install openssh-server 109MB
328edcd84f1b 13 days ago /bin/sh -c #(nop) CMD ["/bin/bash"] 0B
<missing> 13 days ago /bin/sh -c #(nop) LABEL name=CentOS Base ... 0B
<missing> 13 days ago /bin/sh -c #(nop) ADD file:63492ba809361c5... 193MB
$ docker diff 9b
C /run
C /run/utmp
C /var
C /var/log
C /var/log/lastlog
C /var/log/wtmp
D /root](https://image.slidesharecdn.com/developerssummit2017kyusyudist-171002054910/75/Docker-2017-33-2048.jpg)
Uploaded byMasahito Zembutsu
Docker最新動向2017秋＋セキュリティの落とし穴
Developers Summit 2017 KYUSYU 2017年9月22日（金）アクロス福岡 http://event.shoeisha.jp/devsumi/20170922 発表資料 【A-1】Docker最新動向2017秋＋セキュリティの落とし穴
More Related Content
Similar to Docker最新動向2017秋＋セキュリティの落とし穴
![[1C5] Docker Comose & Swarm mode Orchestration (Japan Container Days - Day1)](https://cdn.slidesharecdn.com/ss_thumbnails/1c5dockercomposeorchestration-181206021928-thumbnail.jpg?width=640&height=640&fit=bounds)
Docker最新動向2017秋＋セキュリティの落とし穴
- 1. 1 Engineer / TechnologyEvangelist, SAKURA Internet, Inc. @zembutsu 前佛 雅人 ZEMBUTSU Masahito 2017年9月22日(金) Developers Summit 2017 KYUSYU Docker CEの最新動向等What’s new in Docker for Developers (2017 Fall version)
- 2. 2 Ingress Network (Ingress LoadBalancer) Routing Mesh eth0 eth0 eth0 Bridge Network (Local) Docker Engine “swarm mode” Service Discovery
- 3. とある事例 Docker Engine "swarmmode" (SwarmKit)≠ Docker Swarm ・「簡単にアプリケーションを実行できる環境を提供」する目的 ・swarm mode はクラスタを簡単に組める、manager と worker の role ・swarm モードではIngress Network と Routing mesh、サービスディスカバリ機能を持つ ・swarm mode は docker stack / docker-compose に対応、その使い分けは用途に準じる ・docker secret コマンドで、swarm mode でのシークレット管理 ・v3 format では、--linkやcompose fileの :links はレガシー（OWACON）→networks:の活用を ・constraint: （条件）でデプロイ先サーバの制限 セキュリティは基本的だけれど、見落としている所がおおいかも ・docker build 時の罠、見落としはありませんか？ 今日の内容
- 4.
- 5. 5 Docker概要およびComposeについては、過去資料と重複のため、 各URLをご確認願います • Docker 17.06Updates 最近何が変わったの？ https://www.slideshare.net/zembutsu/whats-new-in-docker-2017-06-distribution-ver • Docker Compose入門～今日から始めるComposeの初歩からswarm mode対応まで https://www.slideshare.net/zembutsu/docker-compose-and-swarm-mode-orchestration
- 6.
- 7. 7 manual.sakura.ad.jp 更新の流れ(PR) cloud マニュアル用リポジトリ クラウド チーム CSさん チーム ❷ドキュメント変更のPullRequest作成 ❶ git clone または GitHub 上で編集 bot お客さま manual.sakura.ad.jp (GSLB) manual-staging /home/web/manual.sakura.ad.jp #cloud-doument ❸push検出 ❹Sphinx build ❺結果通知 ❻確認 Jenkins
- 8.
- 9.
- 10.
- 11.
- 12. 12 $ docker run-it centos Unable to find image 'centos:latest' locally latest: Pulling from library/centos Digest: sha256:26f74cefad82967f97f3eeeef88c1b6262f9b42bc96f2ad61d6f3fdf544759b8 Status: Downloaded newer image for centos:latest [root@085d5f02743d /]# mkdir secret [root@085d5f02743d /]# echo 'himitsu' > secret/password.txt [zem@docker ~]$ sudo find /var/lib/docker -name password.txt /var/lib/docker/overlay/d04efbadefe24a7a2238d943fc18e6036e01234fde1da9b7363c56f 121f6de77/upper/secret/password.txt /var/lib/docker/overlay/d04efbadefe24a7a2238d943fc18e6036e01234fde1da9b7363c56f 121f6de77/merged/secret/password.txt [zem@docker ~]$ sudo cat /var/lib/docker/overlay/d04efbadefe24a7a2238d943fc18e6036e01234fde1da9b7363c56f 121f6de77/merged/secret/password.txt himitsu
- 13.
- 14.
- 16.
- 17.
- 18.
- 19.
- 20. 20 ということは“automated build”イメージは、 挙動を確認しようが無いということですか？ 通常 Dockerfileが公開されています。 自分で内容を確認の上、ビルドするのが幸せです。
- 21.
- 22.
- 23.
- 24. 24 docker login後のdocker logout面倒です。 残したままでもいいですよね？ 他人と共用している、あるいはローカル以外では 非常に危険です。~/.docker/config.jsonにログ イン時に発行された認証トークンが残っています。 全ての権限を他人に委ねる危険性があります。
- 25. 25 $ docker login Loginwith your Docker ID to push and pull images from Docker Hub. If you don't have a Docker ID, head over to https://hub.docker.com to create one. Username: <username> Password: Login Succeeded $ cat ~/.docker/config.json { "auths": { "https://index.docker.io/v1/": { "auth": "emVtYnV1c3U6a2F0YW5hMjkyOSNS" } } }
- 26.
- 27.
- 28. 28 ADD http://darkweb/akan.zip COPY ./local//container/
- 29.
- 30. 30 Dockerfileの「ENTRYPOINT」を指定しておけば、 ログインさせず、かつ、指定コマンドしか実行させ ないコンテナを作れますね いいえ、docker run 時に“--entrypoint” オプ ションで上書きできます。また、 “docker exec” コマンドでコンテナにプロセスをアタッチできます。
- 31.
- 32. 32 イメージやコンテナの変更内容は追えないの ですか？不便ですね。 「docker history」や「docker diff」コマンドを 活用しましょう。また、「dockerinspect」で何の コマンドを実行するか、何番ポートを開こうとする のかも確認できます。
- 33. 33 $ docker historysimplepot:latest IMAGE CREATED CREATED BY SIZE COMMENT 0b9e5d88390d About an hour ago /bin/sh -c #(nop) CMD ["/usr/sbin/sshd" "... 0B 99d01bb57aa0 About an hour ago /bin/sh -c #(nop) EXPOSE 22/tcp 0B 8431c888c464 About an hour ago /bin/sh -c /usr/bin/ssh-keygen -q -t rsa -... 2.06kB d17fb17a5f1e About an hour ago /bin/sh -c echo "root:admin" | chpasswd 1kB fae9166d1392 About an hour ago /bin/sh -c yum -y install openssh-server 109MB 328edcd84f1b 13 days ago /bin/sh -c #(nop) CMD ["/bin/bash"] 0B <missing> 13 days ago /bin/sh -c #(nop) LABEL name=CentOS Base ... 0B <missing> 13 days ago /bin/sh -c #(nop) ADD file:63492ba809361c5... 193MB $ docker diff 9b C /run C /run/utmp C /var C /var/log C /var/log/lastlog C /var/log/wtmp D /root
- 34.
- 35.
- 36. 36 $ ls -al/var/run/docker.sock srw-rw---- 1 root docker 0 Aug 17 12:49 /var/run/docker.sock
- 37. 37 docker run 時にホスト側の機能を使いたいので /var/run/docker.sockをボリュームとしてマウ ントしても大丈夫ですよね？
- 38. 38 docker run 時にホスト側の機能を使いたいので /var/run/docker.sockをボリュームとしてマウ ントしても大丈夫ですよね？ コンテナ内でどのような処理を行うか確証が持て ない限り、使うべきではありません。悪意が無くても、 未知のバグが潜んでいる可能性があります。
- 39.
- 40.
- 41.
- 42.
- 43.
- 44.
- 45.
- 46. 46 コンテナな間で見えないファイルも、ホスト側からは見える Docker Hub 上のリポジトリは安全ではない可能性がある 残念ながら「automatedbuild」も信頼すべきではない Dockerfileを常に確認すべし 共用環境ではdocker login、logoutをセットで忘れずに Dockrfileで「ADD」は使うべきではない Dockerfileの「ENTRYPOINT」は上書き可能 docker history や docker diff 、docker inspectで詳細確認 dockerグループに所属するユーザは、事実上のroot /var/run/docker.sockをマウントさせてはいけない docker ネットワークは動的に接続・接続解除できる docker はホスト側のfirewalld/iptablesの設定に関係なく、 ポートをマッピングできる dockerd のリモート制御時は TLS 認証を有効にすべき
- 47.
- 48.
- 49. Docker CE (CommunityEdition) のバージョン変更 ・CentOS 系のパッケージはは「docker-engine」→「docker-ce」に変更(17.06移行) ・Moby Project の誕生と、役割毎に各パーツが分散（○○Kit） Docker Engine "swarm mode" (SwarmKit)≠ Docker Swarm ・「簡単にアプリケーションを実行できる環境を提供」する目的 ・swarm mode はクラスタを簡単に組める、manager と worker の role ・swarm モードではIngress Network と Routing mesh、サービスディスカバリ機能を持つ ・swarm mode は docker stack / docker-compose に対応、その使い分けは用途に準じる ・docker secret コマンドで、swarm mode でのシークレット管理 ・v3 format では、--linkやcompose fileの :links はレガシー（OWACON）→networks:の活用を ・constraint: （条件）でデプロイ先サーバの制限 セキュリティは基本的だけれど、見落としている所がおおいかも ・docker build 時の罠、見落としはありませんか？
- 50.
- 51. コンテナな間で見えないファイルも、ホスト側からは見える Docker Hub 上のリポジトリは安全ではない可能性がある 残念ながら「automatedbuild」も信頼すべきではない Dockerfileを常に確認すべし 共用環境ではdocker login、logoutをセットで忘れずに Dockrfileで「ADD」は使うべきではない Dockerfileの「ENTRYPOINT」は上書き可能 docker history や docker diff 、docker inspectで詳細確認 dockerグループに所属するユーザは、事実上のroot /var/run/docker.sockをマウントさせてはいけない docker ネットワークは動的に接続・接続解除できる docker はホスト側のfirewalld/iptablesの設定に関係なく、 ポートをマッピングできる dockerd のリモート制御時は TLS 認証を有効にすべき
- 52.
- 53. References Announcing Docker 17.06Community Edition (CE) - Docker Blog https://blog.docker.com/2017/06/announcing-docker-17-06-community-edition-ce/ Docker CE release notes | Docker Documentation https://docs.docker.com/release-notes/docker-ce/ Docker Success Center ( Knowledge Base, Reference Architecture ) https://success.docker.com/
- 54.