搜索

[25987] 2017-01-25_容器监管：保持Linux容器的安全和稳定

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2017-01-25_容器监管：保持Linux容器的安全和稳定 - -   J a s o n   B a k e r 1 1 % 2 7 % 3 9 % 5 3 % 5 9 % 7 6 % 容 器 监 管 ： 保 持   L i n u x   容 器 的 安 全 和 稳 定 原 创   译 者 ： B e s t o n y   L i n u x 中 国   2 0 1 7 - 0 1 - 2 5 你 如 何 知 道 什 么 东 西 运 行 在 你 的 容 器 内 ？ 为 了 帮 助 你 应 对 这 些 的 安 全 挑 战 ， 一 个 名 为   A n c h o r e 的 初 创 公 司 正 在 开 发 一 个 同 名 的 开 源 项 目 ， 它 用 来 帮 助 展 示   L i n u x   容 器 中 的 内 容 。 本 文 导 航 - 简 而 言 之   A n c h o r e   是 什 么 ?   它 如 何 工 作 ? - 什 么 推 动 了 容 器 的 校 验 和 分 析 工 具 的 需 求 出 现 ？ 这 个 工 具 可 以 解 决 运 营 面 临 的 什 么 问 题 呢 ？ - 如 今 容 器 的 创 新 基 本 上 都 是 开 源 的 ， 你 认 为 是 为 什 么 呢 ？ 是 什 么 促 使 了 它 们 开 源 呢 ？ - 容 器 领 域 的 通 用 标 准 的 创 建 还 需 要 时 间 ， 在 容 器 的 几 乎 所 有 部 分 ， 仍 有 许 多 挑 战 。 在 这 个 领 域 ， 创 业 公 司 有 哪 些 挑 战 ？ - 你 将 如 何 围 绕   A n c h o r   项 目 建 立 一 个 开 源 社 区 ？ - 容 器 的 用 途 不 止 是 在 服 务 器 上 更 大 密 度 的 部 署 应 用 程 序 或 者 技 术 层 面 更 快 的 速 度 ， 而 且 还 有 不 同 工 具 的 组 合 ， 这 些 工 具 提 供 了 一 种 不 同 的 方 式 来 拉 近 开 发 者 和 操 作 者 共 同 工 作 。 作 为 在 这 个 领 域 工 作 的 公 司 ， 你 们 希 望 提 供 一 个 什 么 样 的 消 息 来 让 开 发 者 和 运 营 产 生 共 鸣 ？ 编 译 自 ：   h t t p s : / / o p e n s o u r c e . c o m / b u s i n e s s / 1 6 / 1 0 / i n t e r v i e w - a n d y - c a t h r o w - a n c h o r e   作 者 ：   J a s o n   B a k e r 译 者 ：   B e s t o n y L i n u x   容 器 正 在 改 变   I T   从 业 者 的 工 作 方 式 。 相 比 于 庞 大 、 沉 重 的 虚 拟 机 ， 一 些 组 织 发 现 把 他 们 的 应 用 部 署 在 容 器 中 更 有 效 ， 可 以 提 供 更 快 的 速 度 ， 更 加 密 集 ， 提 升 他 们 操 作 的 敏 捷 性 。 从 安 全 的 角 度 看 ， 容 器 带 来 了 一 些 优 势 ， 但 是 也 面 临 着 它 们 自 己 的 一 些 安 全 挑 战 。 和 传 统 的 基 础 设 施 一 样 ， 为 了 避 免 安 全 缺 陷 ， 确 保 运 行 在 一 个 容 器 内 的 组 件 和 系 统 库 的 定 期 更 新 是 至 关 重 要 的 。 但 是 你 如 何 知 道 什 么 东 西 运 行 在 你 的 容 器 内 ？ 为 了 帮 助 你 应 对 这 些 的 安 全 挑 战 ， 一 个 名 为   A n c h o r e [ 1 ] 的 初 创 公 司 正 在 开 发 一 个 同 名 的 开 源 项 目 [ 2 ] ， 它 用 来 帮 助 展 示   L i n u x
容 器 中 的 内 容 。 为 了 了 解 更 多 关 于   A n c h o r e ， 我 找 到 了   A n c h o r e   的 市 场 和 产 品 的 发 言 人   A n d r e w   C a t h r o w ， 来 了 解 更 多 关 于 这 个 开 源 项 目 背 后 的 公 司 。 简 而 言 之   A n c h o r e   是 什 么 ?   它 如 何 工 作 ? A n c h o r e   的 目 标 是 提 供 一 套 工 具 ， 允 许 开 发 人 员 、 运 营 团 队 、 安 全 团 队 在 容 器 的 整 个 开 发 周 期 中 保 持 对 “ 监 管 链 （ C h a i n   o f C u s t o d y ） ” 的 全 程 可 见 ， 并 提 供 生 产 部 署 所 需 的 可 见 性 、 可 预 测 性 和 控 制 性 。 A n c h o r e   的 引 擎 通 过 插 件 可 以 进 行 分 析 （ 通 过 提 取 镜 像 数 据 和 元 数 据 ） 、 查 询 （ 允 许 对 容 器 进 行 分 析 ） 、 以 及 策 略 评 估 （ 这 里 的 策 略 指 可 以 被 指 定 的 管 理 的 图 像 ） 。 虽 然 市 场 上 有 很 多 扫 描 工 具 ， 但 是 大 部 分 不 开 源 。 我 们 认 为 安 全 合 规 的 产 品 应 该 是 开 源 的 ， 否 则 你 怎 么 才 能 信 任 他 们 。 A n c h o r e   除 了 开 源 以 外 ， 还 有 两 大 优 势 ， 使 它 可 以 区 别 于 市 场 中 的 商 业 产 品 。 首 先 ， 我 们 看 的 不 止 是 操 作 系 统 的 镜 像 。 如 今 的 扫 描 工 具 专 注 于 操 作 系 统 的 软 件 包 ， 比 如 “ 你 的   R P M   或   D E B   包 中 有 C V E （ 安 全 漏 洞 ） 么 ？ ” 这 虽 然 是 很 重 要 的 ， 你 不 希 望 你 的 镜 像 中 有 不 安 全 的 包 ， 但 是 操 作 系 统 包 只 是 镜 像 的 基 础 。 其 他 的 层 次 都 需 要 进 行 验 证 ， 包 括 配 置 文 件 、 语 言 模 块 、 中 间 件 等 等 。 你 可 以 用 的 全 是 最 新 的 软 件 包 ， 但 是 可 能 一 个 配 置 文 件 配 置 出 现 错 误 ， 不 安 全 就 出 现 在 里 面 。 第 二 个 不 同 就 是 允 许 用 户 添 加 自 己 的 数 据 、 查 询 或 策 略 来 扩 展 这 个 引 擎 。 什 么 推 动 了 容 器 的 校 验 和 分 析 工 具 的 需 求 出 现 ？ 这 个 工 具 可 以 解 决 运 营 面 临 的 什 么 问 题 呢 ？ 企 业 使 用   D o c k e r   首 要 关 注 的 就 是 安 全 ， 特 别 是 他 们 正 在 部 署 的 容 器 的 分 配 和 合 规 性 。 在 生 产 环 境 中 ， 从 公 共 镜 像 库 拉 取 一 个 镜 像 ， 运 行 它 ， 并 在 几 秒 钟 部 署 ， 是 非 常 简 单 的 ， 甚 至 不 知 道 下 面 可 能 发 生 什 么 。 终 端 用 户 在 部 署 应 用 时 ， 必 须 信 任 他 们 所 部 署 的 是 安 全 、 高 效 和 易 于 维 护 的 。 容 器 是 不 透 明 的 ， 它 们 是 一 个 包 含 应 用 程 序 的 可 部 署 的 “ 黑 盒 ” 。 虽 然 非 常 容 易 把 这 些 镜 像 看 作 “ 打 包 的 应 用 程 序 ” ， 但 是 它 们 包 括 了 系 统 的 镜 像 和 多 达 数 百 个 包 和 成 千 上 万 个 文 件 。 如 同 所 有 在 物 理 服 务 器 、 虚 拟 机 或 者 云 上 的 操 作 系 统 一 样 ， 镜 像 也 需 要 维 护 。 镜 像 或 许 包 含 了 未 补 丁 的 安 全 缺 陷 、 带 有   b u g   和 错 误 配 置 的 过 期 软 件 。 要 对 您 的 容 器 部 署 有 信 心 ， 你 需 要 知 道 底 层 是 什 么 ， 并 基 于 容 器 镜 像 的 内 容 来 做 出 决 定 。 如 今 容 器 的 创 新 基 本 上 都 是 开 源 的 ， 你 认 为 是 为 什 么 呢 ？ 是 什 么 促 使 了 它 们 开 源 呢 ？ 在 过 去 的   2 0   年 中 ， 各 个 组 织 已 经 经 历 了 开 源 带 来 的 优 势 ， 节 省 成 本 ， 减 少 锁 定 ， 提 高 了 安 全 性 和 更 快 的 创 新 。 容 器 ， 特 别 是   D o c k e r ， 都 是 非 常 好 的 例 子 。 D o c k e r   公 司 的 团 队 不 能 在 专 有 系 统 上 创 建 一 个 新 的 软 件 部 署 模 式 ， 他 们 不 能 要 求 在 修 改 专 有 系 统 的 代 码 ， 而 是 与 行 业 领 导 者 比 如 谷 歌 、 I B M 、 英 特 尔 、 红 帽 合 作 ， 朝 着 一 个 共 同 的 目 标 。 开 源 和   L i n u x   总 是 开 启 创 新 和 激 励 产 业 困 境 。 在 过 去 ， 实 现 一 个 大 的 想 法 需 要 一 个 大 的 团 队 和 很 多 资 源 。 在 开 源 世 界 ， 一 个 有 着 很 大 的 创 意 的 小 公 司 可 以 工 作 在 一 个 更 大 的 社 区 中 ， 通 过 知 识 共 享 的 力 量 来 协 作 ， 提 供 真 正 的 企 业 创 新 。
为 了 深 入 的 说 明 开 源 的 使 用 ， A n c h r o e   团 队 最 近 刚 从 多 伦 多 的   L i n u x C o n   回 来 ， 在 哪 里 ， 令 人 难 以 相 信 的 是 ， 微 软 作 为 钻 石 级 的 赞 助 商 ， 展 示 了 他 们 用 在   L i n u x   上 的 产 品 投 入 的 增 长 。 L i n u s   T o r a v l d s   曾 说 过 ， “ 如 果 微 软 为   L i n u x   开 发 应 用 就 意 味 着 我 赢 了 ” 。 我 要 把 这 句 话 改 为 “ 开 源 赢 了 ” 。 容 器 领 域 的 通 用 标 准 的 创 建 还 需 要 时 间 ， 在 容 器 的 几 乎 所 有 部 分 ， 仍 有 许 多 挑 战 。 在 这 个 领 域 ， 创 业 公 司 有 哪 些 挑 战 ？ 这 里 有 个 很 重 要 的 点 ， 就 是 没 有 开 放 的 标 准 和 开 源 ， 我 们 不 可 能 看 到 快 速 推 动 容 器 的 采 用 和 改 变 行 业 格 局 的 创 新 。 开 放 容 器 倡 议 （ O C I ） 由   L i n u x   和 容 器 行 业 的 行 业 领 导 者 组 成 ， 正 在 为 运 行 环 境 和 镜 像 格 式 创 造 标 准 ， 这 将 使 我 们 能 够 看 到 更 多 的 创 新 。 A n c h o r e   很 自 豪 能 成 为   O C I   的 新 成 员 ， 我 们 期 待 帮 助 形 成 标 准 。 你 将 如 何 围 绕   A n c h o r   项 目 建 立 一 个 开 源 社 区 ？ A n c h o r e   团 队 来 自   A n s i b l e 、 E u c a l y p t u s   S y s t e m s   和   R e d   H a t   的 领 导 团 队 ， 在 开 源 社 区 中 拥 有 丰 富 的 工 作 经 验 。 从 一 开 始 ， A n c h o r e   就 准 备 创 建 一 个 强 大 的 开 源 社 区 ， 我 们 正 在 应 用 我 们 在 开 源 世 界 中 学 到 的 经 验 和 教 训 。 第 一 课 ， 当 然 ， 发 布 要 尽 早 尽 快 。 我 们 在   6   月 开 源 我 们 的 检 测 和 分 析 引 擎 ， 远 远 早 于 我 们 的 商 用 产 品 ， 以 便 了 确 保 开 源 项 目 能 够 独 立 运 行 ， 使 更 多 的 直 接 用 户 能 够 使 用 它 ， 而 无 需 购 买   A n c h o r e   的 商 用 产 品 。 通 过 支 持 、 服 务 和 增 强 型 的 数 据 源 ， 有 很 多 机 会 给 商 用 产 品 创 造 更 多 价 值 ， 但 是 如 果 开 源 引 擎 本 身 没 有 用 ， 我 们 将 看 不 到 活 跃 的 社 区 。 我 们 将   A n c h o r e   模 块 化 ， 允 许 添 加 分 析 、 报 告 和 策 略 插 件 ， 而 不 需 要 更 改 核 心 的 引 擎 。 我 们 希 望 保 证 任 何 人 都 可 以 创 建 插 件 ， 所 以 我 们 选 择 了   P y t h o n   作 为 项 目 的 基 本 语 言 ， 因 为   P y t h o n   被 开 发 者 和 系 统 管 理 员 广 泛 应 用 。 但 是 ， 即 使 你 不 熟 悉 P y t h o n ， 你 仍 然 可 以 使 用 任 何 你 喜 欢 的 语 言 或 者 脚 本 环 境 创 建 插 件 。 如 果 你 可 以 创 建 一 个   B a s h   脚 本 ， 那 么 你 也 可 以 创 建 一 个   A n c h o r e   插 件 。 我 们 的 目 标 是 最 大 化 的 吸 引 社 区 的 参 与 。 虽 然 我 们 鼓 励 用 户 将 贡 献 回 馈 给 社 区 ， 但 是 我 们 也 为 这 个 项 目 构 建 并 进 行 了 授 权 ， 来 确 保 可 以 独 立 创 建 和 维 护 私 有 的 插 件 和 模 块 。 容 器 的 用 途 不 止 是 在 服 务 器 上 更 大 密 度 的 部 署 应 用 程 序 或 者 技 术 层 面 更 快 的 速 度 ， 而 且 还 有 不 同 工 具 的 组 合 ， 这 些 工 具 提 供 了 一 种 不 同 的 方 式 来 拉 近 开 发 者 和 操 作 者 共 同 工 作 。 作 为 在 这 个 领 域 工 作 的 公 司 ， 你 们 希 望 提 供 一 个 什 么 样 的 消 息 来 让 开 发 者 和 运 营 产 生 共 鸣 ？ 随 着 越 来 越 多 的 运 行 环 境 、 编 排 、 监 控 和 集 成 产 品 ， 容 器 的 生 态 系 统 正 在 快 速 发 展 。 所 以 ， 我 们 的 架 构 中 的 第 一 个 考 虑 因 素 不 是 限 定   A n c h o r e   的 部 署 和 使 用 。 我 们 需 要 确 保 我 们 可 以 适 应 任 何   C I / C D   工 作 流 ， 无 论 是 私 有 部 署 还 是 云 端 部 署 。 一 个 经 常 问 到 我 们 的 问 题 是 ， A n c h o r e   是 否 将 提 供 一 个 包 含 了 镜 像 扫 描 和 分 析 的 容 器 仓 库 。 虽 然 这 将 大 大 简 化 我 们 的 工 作 ， 但 是 这 会 迫 使 用 户 进 入 特 定 的 部 署 架 构 ， 并 限 制 了 用 户 部 署 他 们 自 己 最 好 的 组 件 的 能 力 。 我 们 已 经 确 保   A n c h o r e   可 以 和 所 有 领 先 的 仓 库 、 运 行 环 境 平 台 、   C I / C D   平 台 和 编 排 工 具 配 合 使 用 。 一 些 开 发 者 掌 握 了 运 营 技 能 ， 并 转 换 为   D e v O p s   角 色 ， 我 们 看 到 系 统 管 理 员 / 运 营 团 队 也 在 更 多 的 了 解 开 发 ， 转 换 成   D e v O p s 角 色 。 我 们 也 看 到 了 具 有 混 合 能 力 的 团 队 。 我 们 设 计 了 可 供 开 发 运 营 和 安 全 团 队 使 用 的   A n c h o r e   ， 以 便 他 们 共 同 定 义 规 则 和 策 略 来 评 估 开 发 周 期 中 的 任 何 一 个 环 节 。 另 外 一 个 例 子 是 插 件 / 模 块 的 架 构 ， 使 任 何 人 都 可 以 在 他 们 喜 欢 的 环 境 中 轻 松 创
建 一 个 模 块   — —   无 论 是 以   P y t h o n 、 G o 、 P e r l 、 C   甚 至 是 一 个   B a s h   脚 本 。 v i a :   h t t p s : / / o p e n s o u r c e . c o m / b u s i n e s s / 1 6 / 1 0 / i n t e r v i e w - a n d y - c a t h r o w - a n c h o r e 作 者 ： J a s o n   B a k e r [ 3 ]   译 者 ： B e s t o n y [ 4 ]   校 对 ： w x y 本 文 由   L C T T [ 5 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 推 荐 文 章 <   左 右 滑 动 查 看 相 关 文 章   > 输 入 文 章   I D   或 长 按 二 维 码 直 达 [ 1 ] :   h t t p s : / / a n c h o r e . c o m [ 2 ] :   h t t p s : / / g i t h u b . c o m / a n c h o r e / a n c h o r e [ 3 ] :   h t t p s : / / o p e n s o u r c e . c o m / u s e r s / j a s o n - b a k e r [ 4 ] :   h t t p s : / / g i t h u b . c o / B e s t o n y [ 5 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理