搜索

[25437] 2016-08-31_浅谈Linux容器和镜像签名

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2016-08-31_浅谈Linux容器和镜像签名 浅 谈   L i n u x   容 器 和 镜 像 签 名 原 创   译 者 ： T a n e t e   L i n u x 中 国   2 0 1 6 - 0 8 - 3 1 从 根 本 上 说 ， 几 乎 所 有 的 主 要 软 件 ， 即 使 是 开 源 软 件 ， 都 是 在 基 于 镜 像 的 容 器 技 术 出 现 之 前 设 计 的 。 这 意 味 着 把 软 件 放 到 容 器 中 相 当 于 是 一 次 平 台 移 植 。 这 也 意 味 着 一 些 程 序 可 以 很 容 易 就 迁 移 ， 而 另 一 些 就 更 困 难 [ 1 ] 。 我 大 约 在 三 年 半 前 开 展 基 于 镜 像 的 容 器 相 关 工 作 。 到 目 前 为 止 ， 我 已 经 容 器 化 了 大 量 应 用 。 我 了 解 到 什 么 是 现 实 情 况 ， 什 么 是 迷 信 。 今 天 ， 我 想 简 要 介 绍 一 下   L i n u x   容 器 是 如 何 设 计 的 ， 以 及 谈 谈 镜 像 签 名 。 L i n u x   容 器 是 如 何 设 计 的 容 器 是 如 何 设 计 的 对 于 基 于 镜 像 的   L i n u x   容 器 ， 让 大 多 数 人 感 到 困 惑 的 是 ， 它 把 操 作 系 统 分 割 成 两 个 部 分 ： 内 核 空 间 与 用 户 空 间 [ 2 ] 。 在 传 统 操 作 系 统 中 ， 内 核 运 行 在 硬 件 上 ， 你 无 法 直 接 与 其 交 互 。 用 户 空 间 才 是 你 真 正 能 交 互 的 ， 这 包 括 所 有 你 可 以 通 过 文 件 浏 览 器 或 者 运 行 命 令 能 看 到 的 文 件 、 类 库 、 程 序 。 当 你 使 用 命 令 调 整   I P   地 址 时 ， 你 实 际 上 正 在 借 助 用 户 空 间 的 程 序 来 使 内 核 根 据   T C P   协 议 栈 改 变 。 这 点 经 常 让 没 有 研 究 过   L i n u x / U n i x   基 础 [ 3 ] 的 人 大 吃 一 惊 。 过 去 ， 用 户 空 间 中 的 类 库 支 持 了 与 内 核 交 互 的 程 序 （ 比 如   i f c o n f i g 、 s y s c t l 、 t u n e d - a d m ） 以 及 如 网 络 服 务 器 和 数 据 库 之 类 的 面 向 用 户 的 程 序 。 这 些 所 有 的 东 西 都 堆 积 在 一 个 单 一 的 文 件 系 统 结 构 中 。 用 户 可 以 在   / s b i n   或 者   / l i b   文 件 夹 中 找 到 所 有 操 作 系 统 本 身 支 持 的 程 序 和 类 库 ， 或 者 可 以 在   / u s r / s b i n   或   / u s r / l i b   文 件 夹 中 找 到 所 有 面 向 用 户 的 程 序 或 类 库 （ 参 阅 文 件 系 统 层 次 结 构 标 准 ） 。 这 个 模 型 的 问 题 在 于 操 作 系 统 程 序 和 业 务 支 持 程 序 没 有 绝 对 的 隔 离 。 / u s r / b i n   中 的 程 序 可 能 依 赖   / l i b   中 的 类 库 。 如 果 一 个 应 用 所 有 者 需 要 改 变 一 些 东 西 ， 就 很 有 可 能 破 坏 操 作 系 统 。 相 反 地 ， 如 果 负 责 安 全 更 新 的 团 队 需 要 改 变 一 个 类 库 ， 就 （ 常 常 ） 有 可 能 破 坏 面 向 业 务 的 应 用 。 这 真 是 一 团 糟 。 借 助 基 于 镜 像 的 容 器 ， 比 如   D o c k e r 、 L X D 、 R K T ， 应 用 程 序 所 有 者 可 以 打 包 和 调 整 所 有 放 在   / s b i n 、 / l i b 、 / u s r / b i n   和   / u s r / l i b   中 的 依 赖 部 分 ， 而 不 用 担 心 破 坏 底 层 操 作 系 统 。 本 质 上 讲 ， 容 器 技 术 再 次 干 净 地 将 操 作 系 统 隔 离 为 两 部 分 ： 内 核 空 间 与 用 户 空 间 。 现 在 开 发 人 员 和 运 维 人 员 l s i f c o n f i g
可 以 分 别 独 立 地 更 新 各 自 的 东 西 。 然 而 还 是 有 些 令 人 困 扰 的 地 方 。 通 常 ， 每 个 应 用 所 有 者 （ 或 开 发 者 ） 并 不 想 负 责 更 新 这 些 应 用 依 赖 ： 像   o p e n s s l 、 g l i b c ， 或 很 底 层 的 基 础 组 件 ， 比 如 ， X M L   解 析 器 、 J V M ， 再 或 者 处 理 与 性 能 相 关 的 设 置 。 过 去 ， 这 些 问 题 都 委 托 给 运 维 团 队 来 处 理 。 由 于 我 们 在 容 器 中 打 包 了 很 多 依 赖 ， 对 于 很 多 组 织 来 讲 ， 对 容 器 内 的 所 有 东 西 负 责 仍 是 个 严 峻 的 问 题 。 迁 移 现 有 应 用 到 迁 移 现 有 应 用 到   L i n u x   容 器 容 器 把 应 用 放 到 容 器 中 算 得 上 是 平 台 移 植 ， 我 准 备 突 出 介 绍 究 竟 是 什 么 让 移 植 某 些 应 用 到 容 器 当 中 这 么 困 难 。 （ 通 过 容 器 ， ） 开 发 者 现 在 对   / s b i n   、 / l i b 、   / u s r / b i n 、   / u s r / l i b   中 的 内 容 有 完 全 的 控 制 权 。 但 是 ， 他 们 面 临 的 挑 战 是 ， 他 们 仍 需 要 将 数 据 和 配 置 放 到   / e t c   或 者   / v a r / l i b   文 件 夹 中 。 对 于 基 于 镜 像 的 容 器 来 说 ， 这 是 一 个 糟 糕 的 想 法 。 我 们 真 正 需 要 的 是 代 码 、 配 置 以 及 数 据 的 隔 离 。 我 们 希 望 开 发 者 把 代 码 放 在 容 器 当 中 ， 而 数 据 和 配 置 通 过 不 同 的 环 境 （ 比 如 ， 开 发 、 测 试 或 生 产 环 境 ） 来 获 得 。 这 意 味 着 我 们 （ 或 者 说 平 台 ） 在 实 例 化 容 器 时 ， 需 要 挂 载   / e t c   或   / v a r / l i b   中 的 一 些 文 件 或 文 件 夹 。 这 会 允 许 我 们 到 处 移 动 容 器 并 仍 能 从 环 境 中 获 得 数 据 和 配 置 。 听 起 来 很 酷 吧 ？ 这 里 有 个 问 题 ， 我 们 需 要 能 够 干 净 地 隔 离 配 置 和 数 据 。 很 多 现 代 开 源 软 件 比 如   A p a c h e 、 M y S Q L 、 M o n g o D B 、 N g i n x   默 认 就 这 么 做 了 。 但 很 多 自 产 的 、 历 史 遗 留 的 、 或 专 有 程 序 并 未 默 认 这 么 设 计 [ 4 ] 。 对 于 很 多 组 织 来 讲 ， 这 是 主 要 的 痛 点 。 对 于 开 发 者 来 讲 的 最 佳 实 践 是 ， 开 始 架 构 新 的 应 用 ， 移 植 遗 留 代 码 ， 以 完 成 配 置 和 数 据 的 完 全 隔 离 。 镜 像 签 名 简 介 镜 像 签 名 简 介 信 任 机 制 是 容 器 的 重 要 议 题 。 容 器 镜 像 签 名 允 许 用 户 添 加 数 字 指 纹 到 镜 像 中 。 这 个 指 纹 随 后 可 被 加 密 算 法 测 试 验 证 。 这 使 得 容 器 镜 像 的 用 户 可 以 验 证 其 来 源 并 信 任 。 容 器 社 区 经 常 使 用 “ 容 器 镜 像 ” 这 个 词 组 ， 但 这 个 命 名 方 法 会 让 人 相 当 困 惑 。 D o c k e r 、 L X D   和   R K T   推 行 获 取 远 程 文 件 来 当 作 容 器 运 行 这 样 的 概 念 。 这 些 技 术 各 自 通 过 不 同 的 方 式 处 理 容 器 镜 像 。 L X D   用 单 独 的 一 层 来 获 取 单 独 一 个 容 器 ， 而   D o c k e r   和   R K T   使 用 基 于 开 放 容 器 镜 像 （ O C I ） 格 式 ， 可 由 多 层 组 成 。 糟 糕 的 是 ， 会 出 现 不 同 团 队 和 组 织 对 容 器 镜 像 中 的 不 同 层 负 责 的 情 况 。 容 器 镜 像 概 念 下 隐 含 的 是 容 器 镜 像 格 式 的 概 念 。 拥 有 标 准 的 镜 像 格 式 比 如   O C I   会 让 容 器 生 态 系 统 围 绕 着 镜 像 扫 描 、 签 名 ， 和 在 不 同 云 服 务 提 供 商 间 转 移 而 繁 荣 发 展 。 现 在 谈 到 签 名 了 。 容 器 存 在 一 个 问 题 ， 我 们 把 一 堆 代 码 、 二 进 制 文 件 和 类 库 放 入 其 中 。 一 旦 我 们 打 包 了 代 码 ， 我 们 就 要 把 它 和 必 要 的 文 件 服 务 器 （ 注 册 服 务 器 ） 共 享 。 代 码 只 要 被 共 享 ， 它 基 本 上 就 是 不 具 名 的 ， 缺 少 某 种 密 文 签 名 。 更 糟 糕 的 是 ， 容 器 镜 像 经 常 由 不 同 人 或 团 队 控 制 的 各 个 镜 像 层 组 成 。 每 个 团 队 都 需 要 能 够 检 查 上 一 个 团 队 的 工 作 ， 增 加 他 们 自 己 的 工 作 内 容 ， 并 在 上 面 添 加 他 们 自 己 的 批 准 印 记 。 然 后 他 们 需 要 继 续 把 工 作 交 给 下 个 团 队 。 （ 由 很 多 镜 像 组 成 的 ） 容 器 镜 像 的 最 终 用 户 需 要 检 查 监 管 链 。 他 们 需 要 验 证 每 个 往 其 中 添 加 文 件 的 团 队 的 可 信 度 。 对 于 最 终 用 户 而 言 ， 对 容 器 镜 像 中 的 每 一 层 都 有 信 心 是 极 其 重 要 的 。 作 者   S c o t t   M c C a r t y   于   8   月   2 4   日 在   C o n t a i n e r C o n   会 议 上 作 了 题 为   C o n t a i n e r s   f o r   G r o w n u p s :   M i g r a t i n g   T r a d i t i o n a l   &   E x i s t i n g   A p p l i c a t i o n s [ 5 ]   的 报 告 ， 更 多 内 容 请 参 阅 报 告 幻 灯 片 [ 6 ] 。 v i a :   h t t p s : / / o p e n s o u r c e . c o m / b u s / 1 6 / 8 / i n t r o d u c t i o n - l i n u x - c o n t a i n e r s - a n d - i m a g e - s i g n i n g 作 者 ： S c o t t   M c C a r t y [ 7 ]   译 者 ： T a n e t e [ 8 ]   校 对 ： w x y [ 9 ] 本 文 由   L C T T [ 1 0 ]   原 创 编 译 ， L i n u x 中 国 [ 1 1 ]   荣 誉 推 出
[ 1 ] :   h t t p : / / r h e l b l o g . r e d h a t . c o m / 2 0 1 6 / 0 4 / 2 1 / a r c h i t e c t i n g - c o n t a i n e r s - p a r t - 4 - w o r k l o a d - c h a r a c t e r i s t i c s - a n d - c a n d i d a t e s - f o r - c o n t a i n e r i z a t i o n / [ 2 ] :   h t t p : / / r h e l b l o g . r e d h a t . c o m / 2 0 1 5 / 0 7 / 2 9 / a r c h i t e c t i n g - c o n t a i n e r s - p a r t - 1 - u s e r - s p a c e - v s - k e r n e l - s p a c e / [ 3 ] :   h t t p : / / r h e l b l o g . r e d h a t . c o m / t a g / a r c h i t e c t i n g - c o n t a i n e r s / [ 4 ] :   h t t p : / / r h e l b l o g . r e d h a t . c o m / 2 0 1 6 / 0 4 / 2 1 / a r c h i t e c t i n g - c o n t a i n e r s - p a r t - 4 - w o r k l o a d - c h a r a c t e r i s t i c s - a n d - c a n d i d a t e s - f o r - c o n t a i n e r i z a t i o n / [ 5 ] :   h t t p s : / / l c c c n a 2 0 1 6 . s c h e d . o r g / e v e n t / 7 J U c / c o n t a i n e r s - f o r - g r o w n u p s - m i g r a t i n g - t r a d i t i o n a l - e x i s t i n g - a p p l i c a t i o n s - s c o t t - m c c a r t y - r e d - h a t [ 6 ] :   h t t p : / / s c h d . w s / h o s t e d _ f i l e s / l c c c n a 2 0 1 6 / 9 1 / C o n t a i n e r s % 2 0 f o r % 2 0 G r o w n u p s _ % 2 0 M i g r a t i n g % 2 0 T r a d i t i o n a l % 2 0 % 2 6 % 2 0 E x i s t i n g % 2 0 A p p l i c a t i o n s . p d f [ 7 ] :   h t t p s : / / o p e n s o u r c e . c o m / u s e r s / f a t h e r l i n u x [ 8 ] :   h t t p s : / / g i t h u b . c o m / T a n e t e [ 9 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 1 0 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t [ 1 1 ] :   h t t p s : / / l i n u x . c n / 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理