Як обробляти оновлення безпеки в контейнерах Docker?

Під час розгортання програм на серверах зазвичай існує розмежування між тим, що додаток входить у себе, і тим, що він очікує від платформи (операційної системи та встановлених пакетів). Одним із пунктів цього є те, що платформу можна оновлювати незалежно від програми. Це корисно, наприклад, коли оновлення безпеки потрібно терміново застосовувати до пакетів, наданих платформою, не переробляючи весь додаток.

Традиційно оновлення безпеки застосовуються просто шляхом виконання команди менеджера пакунків для встановлення оновлених версій пакетів в операційній системі (наприклад, "yum update" на RHEL). Але з появою технології контейнерів, таких як Docker, де зображення контейнерів по суті поєднують як додаток, так і платформу, який канонічний спосіб оновлювати систему з контейнерами? І хост, і контейнери мають власні, незалежні, набори пакунків, які потребують оновлення та оновлення на хості, не оновлюватимуть жодних пакетів усередині контейнерів. З виходом RHEL 7, де особливо представлені контейнери Docker, було б цікаво почути, що рекомендується Redhat для обробки оновлень безпеки контейнерів.

Думки про кілька варіантів:

• Якщо дозволити менеджеру пакетів оновити пакети на хості, вони не будуть оновлювати пакети всередині контейнерів.
• Регенерування всіх зображень контейнерів для застосування оновлень, здається, порушує поділ між додатком та платформою (оновлення платформи вимагає доступу до процесу збирання додатків, який генерує зображення Docker).
• Запуск вручну команд усередині кожного із запущених контейнерів здається громіздким, і зміни ризикують бути перезаписаними наступного разу, коли контейнери будуть оновлені з артефактів випуску програми.

Тож жоден із цих підходів не здається задовільним.

Документ з пакетом зображень Докера та "платформа", це правильно. Але зазвичай зображення складається з базового зображення та фактичного застосування.

Отже, канонічним способом обробки оновлень безпеки є оновлення базового зображення, а потім відновлення зображення програми.

Контейнери повинні бути легкими та взаємозамінними. Якщо у вашому контейнері є проблеми із безпекою, ви відновите версію контейнера, який виправлено, і розгорніть новий контейнер. (багато контейнерів використовують стандартне базове зображення, яке використовує стандартні засоби управління пакетами, наприклад, apt-get для встановлення своїх залежностей; відновлення буде витягувати оновлення із сховищ)

Хоча ви можете латати всередині контейнерів, це не буде добре масштабувати.

Це обробляється автоматично в SUSE Enterprise Linux за допомогою zipper-docker (1)

SUSE / докер

Швидкий старт Docker

Перш за все, багато ваших оновлень, які ви традиційно працювали в минулому, просто не опиняться всередині самого контейнера. Контейнер повинен бути досить легким і невеликим набором повної файлової системи, яку ви звикли бачити в минулому. Пакети, які вам доведеться оновити, - це ті, що є частиною вашого DockerFile, і оскільки у вас є DockerFile, ви повинні мати можливість відслідковувати ці пакунки та ідентифікатори контейнерів, які потребують оновлення. Користувацький інтерфейс Cloudstein, який буде випущений незабаром, відстежує ці інгредієнти DockerFile для вас, щоб можна було побудувати схему оновлення, яка найкраще підходить для їх контейнерів. Сподіваюся, це допомагає

це, як правило, навіть гірше трьох запропонованих вами варіантів. Більшість зображень докера не побудовані за допомогою менеджерів пакетів, тому ви не можете просто скористатися зображенням докера та оформити оновлення. Вам потрібно буде відновити або відновити зображення докера.

Той факт, що вам потрібно перебудувати або сподіватися на інших, щоб відновити патчі безпеки, здається в більшості випадків нерозумним.

Я розглядав можливість розгортання sonarr та radarr в контейнерах докера, але знаючи, що вони не збираються отримувати регулярні оновлення безпеки, які отримує мій контейнер, - це вимикач угод. Управління оновленнями безпеки для мого контейнера достатньо клопоту, не маючи справи з тим, щоб якось вручну застосовувати оновлення безпеки до кожного зображення докера окремо.