• úvod
  • témata
  • události
  • tržiště
  • diskuze
  • nástěnka
    • přihlásit
    registrace
    ztracené heslo?
    ALMADDocker a kontejnery
    Docker aneb přístupný provoz kontejnerizovaných aplikací
    Docker(Hub), Compose, Swarm, boot2docker, DevOps, LXC, ECS, TumTum a jiné buzzwordy
    Bezpečnost v prostředí kontejnerů
    Related: automatizace [ Centralizovaná správa stanic a ostatních prvků v síti konfigurace/inventarizace/instalace/aktualizace/zalohovani ]
    rozbalit záhlaví
    MARTEN
    MARTEN --- ---
    MLEKAR_STEIN: Pokud budes zvazovat ansible, tak bych mozna kouknul i spis na terraform. Vybral bych i podle toho jak mas servery. Jestli jsou to VMs, cloud, nebo fyzicke servery
    BLACKOUT
    BLACKOUT --- ---
    MLEKAR_STEIN: flyway ?
    WOODMAKER
    WOODMAKER --- ---
    +1
    MLEKAR_STEIN: neco jako Liquibase? https://www.liquibase.org/
    MUXX
    MUXX --- ---
    1 odpověď
    MLEKAR_STEIN: Ansible?
    MLEKAR_STEIN
    MLEKAR_STEIN --- ---
    4 odpovědi
    ahoj,
    hledám nějalý tool na deklarativní správu objektů v postgres.
    našel jsem pgbedrock
    to co umí, by mi vyhovovalo, ale ten je už nějakou dobu nemrtvej
    nemáte nějaký tip?
    JON
    JON --- ---
    Pouzivate nekdo harness https://www.harness.io/ ?
    Mam obecnou predstavu co to dela, umim si rozchodit self hosted tutorial atd, ale mam par konkretnich dotazu, ktery bude rychlejsi vymamit z nekoho, kdo tim vladne.
    Mohl byste mi k tomu udelat 1:1 intro + vsetecne dotazy? Idealne bych to videl tak na 2hodky az pulden.
    Normalne zaplatim - penezma :-)
    MARTEN
    MARTEN --- ---
    +1
    GIOMIKY: Prijde mi, ze na otazky tady reagujes nejakyma nahodnyma vecma. Fakt nevim na co to jsou reakce.

    Jinak docker mam tak na 20 serverech. Kdyz pripocitam servery s dockerem v praci, tak ji bude par set. Nikdy sem nemel problem se siti a ze bych neco musel resetovat. A to bezi bez prestavky bezne jeden rok.
    RAINBOF
    RAINBOF --- ---
    GIOMIKY: protoze jsi na me prve reagoval :)
    RAINBOF
    RAINBOF --- ---
    GIOMIKY: pravdepodobne jsi vubec nepochopil co resim.
    RAINBOF
    RAINBOF --- ---
    GIOMIKY: vubec nevim co ted naznacujes. Je to vec co realne resim. Na stole je swarm, a me to prijde jako tezkotonazni reseni vzhledem k tomu co chci delat.
    RAINBOF
    RAINBOF --- ---
    GIOMIKY: tak presne tomu se chci vyhnout.

    Udelat kontinualne neco jako

    Docker compose stop kontak-hoven
    Docker compose up kontak-hoven -d

    Fakt nechci. Jde o to ze kdyz to chcipne, zalogovat k reseni a nahodit a ne ze to ceka na nekoho s vysokejma pravama na produkci aby to otocil. Stava se to velmi zridka tak 2x za rok ale klasika v patek vecer o vanocich.
    MARTEN
    MARTEN --- ---
    +4
    GIOMIKY: Tady je to o docker containeru, tam ani zadny ssh neni. Container ani nemusi vedet ze ma problemy, protoze bude mit takove problemy, ze ani nenabehne. Tohle se proste resi z venku. Od toho ten docker container ma ten healthcheck a dostava se dal k daemonu, aby s tim neco mohl delat
    MARTEN
    MARTEN --- ---
    GIOMIKY: Restartovat container, ne docker daemon.
    Masin, nebo imagu? Pokud je mysleny image, tak tim rikas, ze by se docker nemel pouzivat.
    MARTEN
    MARTEN --- ---
    +3
    RAINBOF: Pokud nechces swarm, k3s/k8s apod., tak se zkus kouknout na tenhle image https://hub.docker.com/r/willfarrell/autoheal/, resi to. Bezi vedle ostatnich a monitoruje je, podobne treba jako traefik
    RAINBOF
    RAINBOF --- ---
    1 odpověď
    nez se do toho opru,

    potreboval bych neco co mi zkusi 2x-3x restartovat kontejner pokud jeho healthcheck failne, kolega radi docker swarm ale nejsem si uplne jist zda je to vubec vhodne.
    MARTEN
    MARTEN --- ---
    +2
    Tak pro zajimavost. V pripade kubernetes staci nastaveni egress. V pripade docker/docker-compose je reseni mit container s proxy a vsem kterym chci zakazat pristupovat ven, tak nastavit `network_mode: service:` a tam uz vse resit jako beznou proxy.
    HVJ3R
    HVJ3R --- ---
    DOKIS: ad 2 je v zasade sys root trusted a java root trusted. Pokud teda neresime browsery, ale i tem se to da podstrcit.
    DOKIS
    DOKIS --- ---
    1 odpověď+1
    MARTEN: Pokud chces logovani a filtrovani na urovni URL, ne IP adres, a zaroven to ma byt nejen HTTP, ale i HTTPS, tak mas problem. Protoze chces delat neco, cemu ma HTTPS z principu branit - jde vlastne o variantu man-in-the-middle (MITM) utoku. V zasade mas asi dve moznosti, obe spatne:
    1) v kazdem kontejneru pro kazdy produkt nastavit proxy, takze ten klient na tom MITM bude vedome spolupracovat; samozrejme nastaveni proxy neni nejake jednotne a env. promennou sice dost veci bere, ale zdaleka ne vsechny.
    2) skutecne udelat MITM na spojeni nespolupracujich aplikaci. Tam ale potrebujes tem aplikacim vnutit svuj root certifikat jako duveryhodny. Opet plati, ze existuje bezny zpusob, jak to udelat, ale zdaleka ne vsechno ho pouziva.
    MARTEN
    MARTEN --- ---
    MUXX: Budu muset zkusit. Jen ta http_proxy variable neni podporovana kazdym toolem/jazykem a je pro nektere hrozny opruz najit co specialne potrebuji. Ale asi to zkusim
    MUXX
    MUXX --- ---
    1 odpověď
    MARTEN: Rekl bych, ze squid bude nejlepsi. Proxy se resi stejne jako na linuxu pres http_proxy env variable. Zalezi kde to provozujes, da se to nastavit i na host https://docs.docker.com/network/proxy/
    MARTEN
    MARTEN --- ---
    1 odpověď+1
    Neresim inbound. Nic s balancingem, routingem apod.
    Potrebuju vyresit outbound z containeru. Defaultne zakazat containerum jakoukoliv komunikaci ven a pouze jim povolovat whitelistem kam muzou.
    Tedy nic spolecneho s haproxy, nginxem, traefik atd.
    Squid rozchodim (pokud nezna nekdo ted lepsi reseni), ale nevim jak nastavit containery a automaticky je brat pres proxy a vlastne i at drzi container informaci o tom, ktera pravidla pro nej plati. At se zmenou ip, apod., nemusim resit znovu whitelistovani.
    JON
    JON --- ---
    MARTEN: a nechces spis neco, co je opravdova service-mesh?
    MUXX
    MUXX --- ---
    MARTEN: kdyz je vsude SSL, tak v tom logu uvidis maximalne IP adresy ne? to jeste pak bude dost prace zjistit co vlastne ten traffic znamena ne?
    RUDOLF
    RUDOLF --- ---
    MARTEN: traefic se dá řídit podle labels co máš u každého kontejneru

    Traefik Docker Documentation - Traefik
    https://doc.traefik.io/traefik/providers/docker/
    Kliknutím sem můžete změnit nastavení reklam