• úvod
  • témata
  • události
  • tržiště
  • diskuze
  • nástěnka
    • přihlásit
    registrace
    ztracené heslo?
    ALMADDocker a kontejnery
    Docker aneb přístupný provoz kontejnerizovaných aplikací
    Docker(Hub), Compose, Swarm, boot2docker, DevOps, LXC, ECS, TumTum a jiné buzzwordy
    Bezpečnost v prostředí kontejnerů
    Related: automatizace [ Centralizovaná správa stanic a ostatních prvků v síti konfigurace/inventarizace/instalace/aktualizace/zalohovani ]
    rozbalit záhlaví
    DOKIS
    DOKIS --- ---
    1 odpověď+1
    MARTEN: Pokud chces logovani a filtrovani na urovni URL, ne IP adres, a zaroven to ma byt nejen HTTP, ale i HTTPS, tak mas problem. Protoze chces delat neco, cemu ma HTTPS z principu branit - jde vlastne o variantu man-in-the-middle (MITM) utoku. V zasade mas asi dve moznosti, obe spatne:
    1) v kazdem kontejneru pro kazdy produkt nastavit proxy, takze ten klient na tom MITM bude vedome spolupracovat; samozrejme nastaveni proxy neni nejake jednotne a env. promennou sice dost veci bere, ale zdaleka ne vsechny.
    2) skutecne udelat MITM na spojeni nespolupracujich aplikaci. Tam ale potrebujes tem aplikacim vnutit svuj root certifikat jako duveryhodny. Opet plati, ze existuje bezny zpusob, jak to udelat, ale zdaleka ne vsechno ho pouziva.
    MUXX
    MUXX --- ---
    MARTEN: kdyz je vsude SSL, tak v tom logu uvidis maximalne IP adresy ne? to jeste pak bude dost prace zjistit co vlastne ten traffic znamena ne?
    RUDOLF
    RUDOLF --- ---
    MARTEN: traefic se dá řídit podle labels co máš u každého kontejneru

    Traefik Docker Documentation - Traefik
    https://doc.traefik.io/traefik/providers/docker/
    MLEKAR_STEIN
    MLEKAR_STEIN --- ---
    1 odpověď
    MARTEN:
    squid je asi trochu na jine pouziti.

    urcite bych pouzil nginx, da se misto dns pouzit path a pak mas pro kazdou path vlastni proxy_pass.
    MARTEN
    MARTEN --- ---
    4 odpovědi
    Potreeboval bych vsechny sve docker containery dat za proxy. Jaky proxy server by ste pouzili? Znam akorat tak squid, ale prijde mi to trochu kanon na vrabce. Chci jen at to ma log, nejake UI at zjistim co kam leze. Ani nepotrebuju snad uzivatele.
    A jde nejak udelat, aby kazdy container jel pres tuto proxy, abych to nemusel pro kazdy tool nastavovat zvlast a jeste uvnitr?
    BONEFLUTE
    BONEFLUTE --- ---
    Ahoj.
    Zkouším použít podman-compose pod neroot uživatelem.
    Mám jednoduchý webový php server + mysql. Tedy dvě služby. Nic složitého. Běží to.
    Problém je v tom, že já bych rád, aby ta databáze měla IP adresu. Abych si ji mohl vypsat pomocí podman inspect a abych se pomocí té IP adresy do té databáze mohl přihlásit pomocí nástroje (dbeaver například).

    Doufám, že to bude něco jednoduchého a jsem jen slepej. Nedaří se mi nic najít.

    Předem díky.
    RAINBOF
    RAINBOF --- ---
    JON: zarim jsem to ohnul takto:

    docker compose build -profile1
    Docker compose build -profile2

    Kde nejdriv postavim set tech "dole" a pak teprv ty vys. Je to oprc ale funguje to.
    SH_PANDA
    SH_PANDA --- ---
    RAINBOF: ok, na multi-stage buildy jsem nepomyslel. To nam resi package dependency tool, ktery pusti buildy podle deklarovanych dependencies.
    SAMGARR
    SAMGARR --- ---
    IMO to docker-compose neresi schvalne a nechavaj to na CI.
    JON
    JON --- ---
    1 odpověď
    RAINBOF: no nevim, asi bych to resil takhle (coz je dost kpt obvious odpoved, zejo):
    $ cat build.sh
#!/bin/bash
set -e
docker-compose build image_1
docker-compose build image_2
    nehledal bych v tom moc zakernosti, ale je pravda ze me to nikdy netrapilo - kdyz je potreba tech imagu buildovat fakt hodne, tak to dela pipeline a ja jen pulluju, pripadne si lokalne vybuildim ten jeden dva, ktere zrovna menim. Tak je mozny, ze mi unika nejaky use-case, kde by se to fakt hodilo.
    RAINBOF
    RAINBOF --- ---
    1 odpověď-1
    SH_PANDA: nevidim k tomu duvod jinej nez prave to ze je to v tomhle miste nedopeceny. mozna nekde kde nepouzivas "from" to je okej ale ja si spis myslim ze to je nejaky vohnoutstvi ve prospech placenejch toolu.
    SH_PANDA
    SH_PANDA --- ---
    1 odpověď+2
    RAINBOF: best practice je stejne ze na tom nema zalezet a stejne ani na poradi startovani kontejneru
    WOJTISHEK
    WOJTISHEK --- ---
    RAINBOF: něco takového? https://www.linkedin.com/pulse/start-one-container-after-another-using-andrey-jim%C3%A9nez/
    JON
    JON --- ---
    RAINBOF: afaik docker compose ne, zkus se podivat este na docker buildx bake https://docs.docker.com/engine/reference/commandline/buildx_bake/ jestli by to nesplnovalo to co chces
    RAINBOF
    RAINBOF --- ---
    4 odpovědi
    Je nejak mozny umravnit docker compose build -all aby mi kontejnery stavel podle poradi ? Jediny co funguje je spustit ale to se mi vazne vubec nelibi. Zkusil jsem "depend on" ale to nefunguje spravne. Kontejneru mam kolem 10ti. Aktualne jsem to udelal jako dva profily a buildim nejdriv kontejnery nejvic vespod stromu zavislosti a pak zbytek ale stve me to...
    JON
    JON --- ---
    Zkusim se zeptat jeste tady, sorry za duplicitu s [JON @ Programatorska spoluprace - spoluprace na projektech, nabidky prace]

    Nasel by se tu nekdo, kdo ma zkusenosti s vSphere Container Storage Plug-in (vSphere CSI)?
    Persistent Volumes se zakladaj a fungujou OK az na to, ze
    - obcas nejdou resizovat (obcas jo???)
    - obcas jsou a obcas nejsou videt ve vSphere

    Konzultaci zaplatim.
    UNTOY
    UNTOY --- ---
    +1
    WASM jako kontejner:
    Announcing WCGI: WebAssembly + CGI
    https://wasmer.io/posts/announcing-wcgi
    RAINBOF
    RAINBOF --- ---
    Docker compose snad:)
    SAMGARR
    SAMGARR --- ---
    Docker-compose v2 pouziva pomlcku misto podrzitka. Changelog maj kdyztak na githubu.
    RAINBOF
    RAINBOF --- ---
    neni k dockeru nekde k videni nejaky changelog ? zda se mi ze se v dockeru zmenily pravidla pro nazvy kontejneru chci si to overit.
    DANIELSOFT
    DANIELSOFT --- ---
    tak jsem to nakonec vyřešil downgradováním grafany z latest na 9.2.10, což je verze cca měsíc stará
    ADM
    ADM --- ---
    DANIELSOFT: no nějak se ty persistentni data musí vyřešit, přečti si v dokumentaci dockeru část o persistent data a vyber si co ti vyhovuje
    DANIELSOFT
    DANIELSOFT --- ---
    1 odpověď
    ADM: jinak počkej že kontejner šahá hostovi do /var/lib to je bezpečnost jako kde? si tak uvědomuju
    DANIELSOFT
    DANIELSOFT --- ---
    ADM: adresář /var/lib/grafana jsem na hostu vůbec neměl, poté, co jsem ho vytvořil prázdný, zdá se, že se problém vyřešil, díky

    je to stejně divný
    Kliknutím sem můžete změnit nastavení reklam