Docker: Przykładowy proces budowania oraz porady dot. bezpieczeństwa

0:00Cześć!

0:00W tej lekcji przejdziemy się przez przykładowy proces.

0:02Budowania obrazu produkcyjnego jednej z aplikacji, nad którymi kiedyś pracowałem.

0:08Nie jest to proces idealny, natomiast jest.

0:11Przykładem tego, jak możecie pracować z

0:14chwilami w waszych środowiskach produkcyjnych.

0:17No i oczywiście tutaj są.

0:19Jest to narysowane tak, aby nie było wiadomo jaki to jest projekt.

0:23W związku z czym przejdę tutaj przez ten.

0:25Plik, wytłumaczę co się tutaj dzieje.

0:28Wytłumaczę jakie tutaj są polecenia w tym filmu użyte i dlaczego.

0:33No i. Być może postaram się przekazać kilka

0:35dobrych praktyk w kontekście bezpieczeństwa.

0:38Więc pierwszą rzeczą, która nam się rzuca

0:39w oczy to widzimy, że obraz ten jest budowany.

0:42Z wersji 14 17.

0:44Ta wersja mogłaby już spokojnie zostać podbita na jakąś wyższą 17 16.

0:50Ostatnią stabilną wersją na moment nagrywania kursu, więc jest to.

0:54Już troszkę starsze.

0:55Chociaż nawet bardzo szybko zmienia swoje wersje.

0:58Ale ważna jest tutaj to, że po pierwsze

1:00korzystamy z Alpina, czyli te obrazy są lżejsze.

1:04Natomiast nie jest to po prostu też latest.

1:07Jeżeli widzicie sam obraz, który

1:10ma coś takiego, że po prostu jest nazwa obrazu bez żadnego tagu.

1:14Jest to zła. Praktyka.

1:15Najlepiej zawsze dodawać jawnie tag o który którą wersję kontenera nam chodzi.

1:20Następnie mamy tutaj argumenty, które mogą

1:22zostać przekazane do Docker Bilda na etapie budowania.

1:26Czyli jeśli chcielibyśmy.

1:28Aby w naszym.

1:30W naszych informacjach o tym obrazie np.

1:32przy Docker image jpeg wyświetlały się informacje o tym, kiedy ten obraz został.

1:38Ustawiony, czy.

1:39Jaki jest commit gotowy, czyli hash hash gita dla tego obrazu, który został

1:46wygenerowany, to możecie to przekazać w parametrach do docker Bilda.

1:50I tutaj widzimy, że poprzez tabelki

1:53wystawiamy te informacje na zewnątrz i jest pewna konwencja tego jak powinno.

1:58Się pisać literki.

2:00Tutaj oczywiście możecie przejść sobie do dokumentacji.

2:04Natomiast konwencja jest taka, że jest to odwrotna notacja domenowe.

2:09Nie wiem jaka jest poprawna. Nazwa.

2:10Tego po polsku. W każdym razie tak jak macie np.

2:13. Www kropka google dot.

2:16COM to tak naprawdę domeny są.

2:18Czytane od prawej do lewej, czyli najpierw w domenie.

2:23COM znajdowane jest google i następnie podkategoria www.

2:28I akurat w przypadku tabelek jest to

2:31odwrócona notacja, to znaczy najpierw widzimy nazwę organizacji.

2:35Następnie open container to jest to po prostu tutaj specyfikacja.

2:39Oczywiście też możemy przejść do niej

2:40bezpośrednio, nie konkretnie, tylko do słowa kluczowego w dokumentacji Dockera.

2:46No i są to takie ogólnie przyjęte.

2:48Literki, które mogą zostać.

2:49Wykorzystywane przez różne skrypty, przez automatyzację czy po prostu przez.

2:55Developerów, którzy znają się na tych wartościach i wiedzą gdzie ich.

2:58Szukać. No i możemy tutaj sobie wpisać np.

3:00autora danego obrazu.

3:02I jego adres email w domenie kiedy ten obraz został.

3:06Stworzony, jaki był hash danego komitetu, nazwa tego projektu, link do repozytorium.

3:12Czy link do danego pliku z którego zostało to wygenerowane?

3:17Licencja. No i generalnie wszystkie customowe.

3:19Rzeczy właśnie robimy w tej odwróconej notacji.

3:22Czyli najpierw dajemy sobie tą nazwę domeny, potem nazwę naszej.

3:27Organizacji i dowolne.

3:28Pole, które chcemy opisać. Tutaj.

3:31Jest to projekt, który bazował na audio i video, w związku z czym

3:35niestety domyślny obraz nie wystarczył, aby aplikacja działała poprawnie.

3:41W związku z czym trzeba było doinstalować różne zależności.

3:45Czyli np. w Debianie.

3:46Trzeba byłoby zrobić apt get update i wtedy apt get install.

3:50Wszystkich pojedynczych. Zależności.

3:51Czyli to są wszystko zależności, które musiały zostać zainstalowane.

3:55I teraz właśnie zauważyłem, że

3:57obraz definitywnie został przygotowany pod Debiana.

4:00Natomiast został zmieniony tutaj na Alpine.

4:02Czyli gdybyśmy spróbowali. Go zbudować.

4:04On by nie zadziałał, ponieważ w Alpine nie wykorzystujemy.

4:07Poleceń apt get update install aby zaktualizować nasze zależności.

4:13Czyli moglibyśmy tutaj zrobić jakiegoś streama Może.

4:17Albo jeżeli nam zależy na jakiejś

4:18konkretnej wersji Debiana to po prostu podać ją tutaj.

4:22Więc jeśli przejdziemy dalej, to

4:24oczywiście w tej warstwie wszystkie zależności zostały zainstalowane.

4:28Tutaj zostały dodawane jakieś polecenia,

4:30które były powiązane z Dockera, czyli w momencie startu.

4:33Aplikacji na przykład nasze entry pointy mogły być tutaj zdefiniowane.

4:37No i kolejną ważną rzeczą jest to, że nie wiem czy zauważyliście, ale korzystaliśmy.

4:42Z roota na wszystkich obrazach, które do tej pory uruchomiliśmy.

4:45Domyślnym użytkownikiem był root.

4:48I też nie jest to idealna. Praktyka.

4:49Generalnie nie powinniśmy uruchamiać naszych aplikacje jako root.

4:53Pomimo tego, że kontenery są.

4:55Ze kapsułą owiane i raczej ciężko.

4:56Jest się wydostać poza nie.

4:58Chyba, że faktycznie mamy do czynienia z

4:59hakerem, który korzysta z różnych exploitów.

5:01To dobra praktyka mówi, aby po.

5:03Prostu nie uruchamiać aplikacji jako root,

5:05w związku z czym trzeba tego użytkownika nie dodać.

5:10I to są po prostu polecenia związane z zarządzaniem użytkownikami w Debianie.

5:15Tutaj dodajemy jakieś zależności naszego. Projektu.

5:18To znaczy. Kod źródłowy, uaktualniane uprawnienia do.

5:23FSA.

5:24Dla tego projektu.

5:26Zmieniamy Owner Ship i to jest bardzo ważny krok.

5:30Zmiana użytkownika, czyli domyślnie.

5:34User ustawiony jest na roota.

5:37W momencie kiedy my wiemy, że już nie

5:39będziemy aplikować żadnych poleceń, które mogą.

5:42Wymagać dostępu do roota do administratora.

5:45Tak naprawdę na systemach uniksowych.

5:49Możemy zmienić tego użytkownika.

5:51Na użytkownika nie.

5:52Wtedy wszystkie polecenia poniżej.

5:54Tej klauzuli będą wywoływane jako nie root.

5:59Więc jak widzicie tutaj tych poleceń jest naprawdę sporo i są też takie, których nie

6:02wspomniałem w poprzednich lekcjach, ale to dlatego, bo raczej wykorzystuje.

6:06Się je tylko i wyłącznie przy budowaniu obrazów produkcyjnych.

6:09A aby budować obrazy produkcyjne.

6:12To też trzeba być bardzo ostrożnym, bo z reguły takie aplikacje są już wystawione

6:17w internecie, więc każdy ma do nich dostęp.

6:20Jeżeli wie co robi, jest w stanie łatwo

6:23wkraść się na odpowiednie wersje danych, systemów operacyjnych czy

6:28języków programowania, jeżeli zna odpowiednie exploity do

6:32dyspozycji albo po prostu korzysta ze specjalnego oprogramowania.

6:35Więc jeśli chodzi o.

6:37Ogólnokrajowe rzeczy, to można to tak podsumować, żeby nie uruchamiać.

6:41Kontenerów jako root, czyli na.

6:42Pewno tego user user czy jakakolwiek inna nazwa jaką sobie

6:46ustawiliśmy, żeby się pojawiła przed końcem tego filmu.

6:50Ona się może pojawić naprawdę. W ostatniej linijce.

6:52To nie ma znaczenia, ważne żeby to było faktycznie w pliku.

6:55No i też tutaj. Jako że to.

6:57Jest aplikacja narodowa

6:59to zamiast npm install powinniśmy tutaj wykorzystać npm,

7:05które po prostu będzie zainstalowało zależności w trybie produkcyjnym

7:09i będzie miało kilka innych kroków powiązanych z logiką.

7:14I jeśli chodzi o bezpieczeństwo.

7:16Ogólnie też warto jest dodać sobie tutaj flagę Ignore scripts,

7:20czyli ta flaga sprawi, że wasze skrypty, które możecie mieć w pakiet Jacksonie np.

7:27Install one nie zostaną wykonane.

7:30No i to też się aplikuje do wszystkich.

7:32Zależności, które pobieracie.

7:34Czyli jeżeli macie zależność ICS, ktoś wypchnie nową wersję tej zależności i

7:40doda w post install jakiś złośliwy kod, no to dzięki temu Wasza

7:45aplikacja nie ucierpi, ponieważ po prostu tego posta instalacja nie wywoła.

7:48No i tutaj jest jakieś czyszczenie

7:50plików FSA po wykonanej pracy, ale tak jak mówiłem nie jest to obraz idealny.

7:56Moglibyśmy tutaj wykorzystać na przykład Multi stage buildy.

8:00Czyli zamiast instalować tutaj zależności FSA, a potem je usuwać

8:06moglibyśmy po prostu zbudować tą aplikację.

8:09Jeżeli to jest jakaś prywatna paczka NPM owe np.

8:12na gicie i po prostu skopiować kod źródłowy poprzez kopi dash dash from

8:19czyli wykorzystując właśnie warstwę z innego build czyli multi sequence.

8:24Więc to tyle w tym materiale.

8:26Mam nadzieję, że daje wam to jakieś.

8:28Pojęcie o tym jak mogą wyglądać obrazy produkcyjne.

8:32Ważne jest to, żeby one. Były.

8:35J.w.

8:36Czyli żeby nie dało się im też zmieniać treści, żeby one się nie

8:41kompilowane na przykład w runtime, czyli żeby nie było sytuacji, że dopiero npm

8:46install dzieje się wewnątrz entry point, bo po prostu będzie nam opóźniać start

8:51naszej aplikacji za każdym razem jak będziemy uruchamiać nowy kontener z danego

8:55obrazu i ten npm install będzie się za każdym razem wykonywał.

8:59Także myślę, że to wszystko.

9:01W tej sekcji tego kursu i w następnej

9:03sekcji, czyli w poradach i trikach omówię kilka dobrych praktyk i przydatnych

9:07skryptów, które możecie wykorzystać w pracy z tokenem.

9:10Zarówno na środowiskach produkcyjnych.

9:12Jak i deweloperskich.