Come gestire gli aggiornamenti di sicurezza all'interno dei contenitori Docker?

Quando si distribuiscono applicazioni sui server, esiste in genere una separazione tra ciò che l'applicazione si raggruppa con se stessa e ciò che si aspetta dalla piattaforma (sistema operativo e pacchetti installati). Un punto di ciò è che la piattaforma può essere aggiornata indipendentemente dall'applicazione. Ciò è utile, ad esempio, quando è necessario applicare urgentemente gli aggiornamenti di sicurezza ai pacchetti forniti dalla piattaforma senza ricostruire l'intera applicazione.

Tradizionalmente gli aggiornamenti di sicurezza sono stati applicati semplicemente eseguendo un comando gestore pacchetti per installare versioni aggiornate dei pacchetti sul sistema operativo (ad esempio "aggiornamento yum" su RHEL). Ma con l'avvento della tecnologia dei container come Docker, dove le immagini dei container raggruppano essenzialmente sia l'applicazione che la piattaforma, qual è il modo canonico di mantenere aggiornato un sistema con i container? Sia l'host che i container hanno i propri set indipendenti di pacchetti che devono essere aggiornati e l'host sull'host non aggiornerà alcun pacchetto all'interno dei container. Con il rilascio di RHEL 7 in cui sono particolarmente presenti i contenitori Docker, sarebbe interessante sapere qual è il modo consigliato da Redhat per gestire gli aggiornamenti di sicurezza dei contenitori.

Considerazioni su alcune delle opzioni:

• Consentire al gestore pacchetti di aggiornare i pacchetti sull'host non aggiornerà i pacchetti all'interno dei contenitori.
• Dover rigenerare tutte le immagini del contenitore per applicare gli aggiornamenti sembra interrompere la separazione tra l'applicazione e la piattaforma (l'aggiornamento della piattaforma richiede l'accesso al processo di generazione dell'applicazione che genera le immagini Docker).
• L'esecuzione di comandi manuali all'interno di ciascuno dei contenitori in esecuzione sembra ingombrante e le modifiche rischiano di essere sovrascritte al successivo aggiornamento dei contenitori dagli artefatti di rilascio dell'applicazione.

Quindi nessuno di questi approcci sembra soddisfacente.

Un'immagine Docker raggruppa l'applicazione e la "piattaforma", è corretto. Ma di solito l'immagine è composta da un'immagine di base e dall'applicazione effettiva.

Quindi il modo canonico di gestire gli aggiornamenti di sicurezza è aggiornare l'immagine di base, quindi ricostruire l'immagine dell'applicazione.

I contenitori dovrebbero essere leggeri e intercambiabili. Se il contenitore presenta un problema di sicurezza, si ricostruisce una versione del contenitore con patch e si distribuisce il nuovo contenitore. (molti container utilizzano un'immagine di base standard che utilizza strumenti di gestione dei pacchetti standard come apt-get per installare le proprie dipendenze, la ricostruzione estrarrà gli aggiornamenti dai repository)

Mentre potresti rattoppare all'interno dei contenitori, questo non si ridimensionerà bene.

Questo viene gestito automaticamente in SUSE Enterprise Linux usando zypper-docker (1)

SUSE / zypper-finestra mobile

Docker Quick Start

Prima di tutto, molti dei tuoi aggiornamenti che tradizionalmente hai eseguito in passato non saranno semplicemente all'interno del contenitore stesso. Il contenitore dovrebbe essere un sottoinsieme abbastanza leggero e piccolo dell'intero file system che sei abituato a vedere in passato. I pacchetti che dovresti aggiornare sarebbero quelli che fanno parte del tuo DockerFile e, dato che hai il DockerFile, dovresti essere in grado di tenere traccia di quei pacchetti e ID contenitore che necessitano di aggiornamenti. L'interfaccia utente di Cloudstein che sarà rilasciata presto terrà traccia di questi ingredienti DockerFile per te in modo che uno possa costruire lo schema di aggiornamento che si adatta meglio ai propri contenitori. Spero che sia di aiuto

è generalmente anche peggio delle tre scelte fornite. La maggior parte delle immagini della finestra mobile non sono costruite con i gestori pacchetti, pertanto non è possibile eseguire la shell nell'immagine della finestra mobile ed emettere un aggiornamento. Dovrai ricostruire o riottenere l'immagine della finestra mobile.

Il fatto che sia necessario ricostruire o guardare gli altri per ricostruire patch di sicurezza sembra irragionevole nella maggior parte dei casi.

Stavo pensando di distribuire sonarr e radarr nei container docker, ma sapere che non otterranno i regolari aggiornamenti di sicurezza che il mio container ottiene è un problema. Gestire gli aggiornamenti di sicurezza per il mio container è abbastanza seccante senza dover affrontare in qualche modo la necessità di applicare manualmente gli aggiornamenti di sicurezza a ciascuna immagine docker singolarmente.