[云原生1. ] Docker 的安全及日志管理

news2024/11/27 8:45:49

文章目录

  • 1. Docker自身存在的安全问题
    • 1.1 Docker 自身漏洞
    • 1.2 Docker 源码问题
  • 2. Docker 架构缺陷与安全机制
    • 2.1 容器之间的局域网攻击
    • 2.2 DDoS 攻击耗尽资源
    • 2.3 有漏洞的系统调用
    • 2.4 共享root用户权限
  • 3. Docker 安全基线标准
    • 3.1 docker容器使用安全注意点：
      • 3.1.1 尽量别做的事
      • 3.1.2 尽量要做的事
  • 4. Docker https安全认证
    • 4.1 使用背景
    • 4.2 https请求访问的过程
    • 4.3 获取证书的途径
  • 5. 使用OpenSSL创建自签名证书
    • 5.1 创建CA私钥和证书
    • 5.2 创建服务端自签名请求文件
    • 5.3 基于CA证书、私钥和服务端自签名请求文件，签发服务端证书
    • 5.4 证书的使用测试
    • 5.5 nginx如何支持https?

1. Docker自身存在的安全问题

1.1 Docker 自身漏洞

作为一款应用 Docker 本身实现上会有代码缺陷。
CVE 官方记录 Docker 历史版本共有超过 20 项漏洞，可参见 Docker 官方网站。

黑客常用的攻击手段主要有代码执行、权限提升、信息泄露、权限绕过等。

目前 Docker 版本更迭非常快，Docker 用户可将 Docker 升级为最新版本。

1.2 Docker 源码问题

Docker 提供了 Docker hub，可以让用户上传创建的镜像，以便其他用户下载，快速搭建环境。
但同时也带来了一些安全问题。

例如：
1. 黑客上传恶意镜像
如果有黑客在制作的镜像中植入木马、后门等恶意软件，那么环境从一开始就已经不安全了，后续更没有什么安全可言。

2. 镜像使用有漏洞的软件
DockerHub上能下载的镜像里面，75%的镜像都安装了有漏洞的软件。
所以下载镜像后，需要检查里面软件的版本信息，对应的版本是否存在漏洞，并及时更新打上补丁。

3. 中间人攻击篡改镜像
镜像在传输过程中可能被篡改，目前新版本的 Docker 已经提供了相应的校验机制来预防这个问题。

2. Docker 架构缺陷与安全机制

Docker本身的架构与机制就可能产生问题

例如：黑客已经控制了宿主机上的一些容器，或者获得了通过在公有云上建立容器的方式，然后对宿主机或其他容器发起攻击。

2.1 容器之间的局域网攻击

主机上的容器之间可以构成局域网，因此针对局域网的ARP欺骗、端口扫描、广播风暴等攻击方式便可以用上。
所以，在一个主机上部署多个容器需要合理的配置网络安全，比如设置 iptables 规则。

2.2 DDoS 攻击耗尽资源

Cgroups 安全机制就是要防止此类攻击的，不要为单一的容器分配过多的资源即可避免此类问题。

2.3 有漏洞的系统调用

Docker 与虚拟机的一个重要的区别就是 Docker 与宿主机共用一个操作系统内核。

一旦宿主内核存在可以越权或者提权漏洞，尽管Docker使用普通用户执行，在容器被入侵时，攻击者还可以利用内核漏洞跳到宿主机做更多的事情。

2.4 共享root用户权限

如果以 root 用户权限运行容器（docker run --privileged），容器内的 root 用户也就拥有了宿主机的root权限。

3. Docker 安全基线标准

3.1 docker容器使用安全注意点：

3.1.1 尽量别做的事

  • 尽量不用 --privileged 运行容器（授权容器root用户用户宿主机的root权限）
  • 尽量不用 --network host 运行容器（使用host网络模式共享宿主机的网络命名空间）
  • 尽量不在容器中运行 ssh 服务
  • 尽量不把宿主机系统的关键敏感挂载到容器中

3.1.2 尽量要做的事

  • 尽量使用最小化的镜像
  • 尽量以单一进程运行容器
  • 尽量在容器中使用最新版本的应用
  • 尽量安装最新版本的docker
  • 尽量以最低权限运行容器
  • 尽量使用官方的镜像或自己构建镜像
  • 尽量给容器分配独立的文件系统
  • 尽量以资源限制的方式运行容器 -m --cpu-quota --cpuset-cpus --device-write-bps
  • 尽量以只读的方式挂载数据卷（持久化容器数据到宿主机时除外）
 -v 宿主机目录:容器目录:ro
  • 尽量设置容器重启次数 --restart on-failure:N
 详情见Docker 官方文档：
 https://docs.docker.com/engine/security/

4. Docker https安全认证

4.1 使用背景

为了防止链路劫持、会话劫持等问题导致 Docker 通信时被中间人攻击，c/s 两端应该通过 TLS 加密方式通讯。

4.2 https请求访问的过程

在这里插入图片描述

服务端会事先通过 CA 签发服务器端证书和私钥

  1. 客户端发起 https 请求到服务端的 443 端口
  2. 服务器会先返回一个包含公钥、证书有效期、CA机构等信息的证书给客户端
  3. 客户端会先用本地CA的证书验证服务端证书的有效性，如果证书有效，则会在客户端随机生成一个会话密钥并通过服务端发来的公钥加密后，再发给服务端
  4. 服务端会用私钥解密获取客户端发来的会话密钥，之后双方即可通过会话密码加密/解密来实现密文通信

4.3 获取证书的途径

  1. 在阿里云、腾讯云、华为云等云服务商申请一年有效期的免费证书或者购买付费的证书；

  2. 在服务器本地使用 openssl、mkcert、cfssl、certbot（Let’s Encrypt）等工具生成私有证书。

5. 使用OpenSSL创建自签名证书

创建自签名证书大致分为三步,

  1. 创建CA证书
  2. 创建自签名请求
  3. CA签名。

5.1 创建CA私钥和证书

#创建 CA 私钥文件
openssl genrsa -out ca.key 2048

#2048为位长

在这里插入图片描述

#创建 CA 证书文件
openssl req -new -x509 -days 3650 -key ca.key -out ca.pem  

这是 OpenSSL 工具生成自签名 X.509 证书的命令
# `openssl req`: 执行 OpenSSL 工具，使用 "req" 子命令来创建证书请求。

# `-new`: 表示创建一个新的证书请求（Certificate Signing Request）。

#`-x509`: 表示创建自签名 X.509 证书。

#`-days 3650`: 表示生成的证书有效期为 3650 天（大约 10 年）。

#`-key ca.key`: 指定用来签名证书的密钥文件为 "ca.key"。

#`-out ca.pem`: 表示将生成的证书输出到文件 "ca.pem"。

在这里插入图片描述

5.2 创建服务端自签名请求文件

#创建服务端私钥文件
openssl genrsa -out server.key 2048

在这里插入图片描述

#创建服务端证书自签名请求文件
openssl req -new -key server.key -out server.csr

在这里插入图片描述

5.3 基于CA证书、私钥和服务端自签名请求文件，签发服务端证书

#创建服务端证书文件
openssl x509 -req -days 3650 -in server.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out server.pem

在这里插入图片描述

5.4 证书的使用测试

我们使用自签名证书实现通过https访问harbor私有仓库。

私有仓库的部署过程，详见[云原生1.] Docker–harbor私有仓库部署与管理
这里只标明额外的配置。

#编辑配置文件
vim /usr/local/harbor/harbor.yml
...

 13 https:
 14   # https port for harbor, default is 443
 15   port: 443
 16   # The path of cert and key files for nginx
 17   certificate: /data/server.pem
 18   private_key: /data/server.key
....

在这里插入图片描述

cd /usr/local/harbor/

./prepare

在这里插入图片描述

./install.sh

在这里插入图片描述

#浏览器访问
https://192.168.67.100

在这里插入图片描述
在这里插入图片描述

5.5 nginx如何支持https?

  1. 编译安装时需要添加 --with-http_ssl_module 模板；

  2. 修改配置文件，添加 ssl 配置

http {
    server {
        #SSL 访问端口号为 443
        listen   443 ssl;
        # 填写绑定证书的域名
        server_name  域名;
        root html;
        index index.html index.htm;
		# 指定SSL证书和私钥路径
        ssl_certificate     /usr/local/nginx/conf/cert/xxxxx.pem;
        ssl_certificate_key  /usr/local/nginx/conf/cert/xxxxx.key;

        # ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; 
		# 指定SSL服务器端支持的协议版本
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;  
        ssl_prefer_server_ciphers  on;

        location /welcome {
            root   html;
            index  index.html index.htm;
        }
    }
}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1175477.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【Spring Boot 源码学习】JedisConnectionConfiguration 详解

【Spring Boot 源码学习】JedisConnectionConfiguration 详解

Spring Boot 源码学习系列 JedisConnectionConfiguration 详解 引言往期内容主要内容1. RedisConnectionFactory1.1 单机连接1.2 集群连接1.3 哨兵连接 2. JedisConnectionConfiguration2.1 RedisConnectionConfiguration2.2 导入自动配置2.3 相关注解介绍2.4 redisConnectionF…
阅读更多...
3.26每日一题（线性非齐次的特解如何设）

3.26每日一题（线性非齐次的特解如何设）

1、非齐次方程有e的2x次幂：特解也有e的2x次幂 2、e的2x次幂前面有特殊的一元方程：特解要设为一般的特征方程（axb） 3、求线性齐次特征方程的特征根； 4、判断e的 rx 次幂中的 r 和特征根有没有重合的个数：…
阅读更多...
vue3的自定义指令

vue3的自定义指令

除了 Vue 内置的一系列指令 (比如 v-model 或 v-show) 之外，Vue 还允许你注册自定义的指令 (CustomDirectives)。 1.自定义指令的目的和简单介绍 自定义指令主要是为了重用涉及普通元素的底层 DOM 访问的逻辑。 一个自定义指令由一个包含类似组件生命周期钩子的对象…
阅读更多...
创建日期时间类型对象 pendulum.datetime()

创建日期时间类型对象 pendulum.datetime()

【小白从小学Python、C、Java】 【计算机等考500强证书考研】 【Python-数据分析】 创建日期时间类型对象 pendulum.datetime() 选择题 请问pdl.datetime(2023,10,1,12,0,0)的结果是： import pendulum as pdl print("【执行】pdl.datetime(2023,10,1)") …
阅读更多...
【数智化案例展】领克汽车——火山引擎助力领克汽车数字化营销实践

【数智化案例展】领克汽车——火山引擎助力领克汽车数字化营销实践

‍ 火山引擎案例 本项目案例由火山引擎投递并参与数据猿与上海大数据联盟联合推出的《2023中国数智化转型升级创新服务企业》榜单/奖项”评选。 大数据产业创新服务媒体 ——聚焦数据 改变商业 领克汽车是由吉利汽车、沃尔沃汽车和吉利控股集团合资成立的全球新高端品牌。据吉…
阅读更多...
inno setup 运行时进行文件复制和替换

inno setup 运行时进行文件复制和替换

问题描述： 当我们采用 inno setup进行打包时，需要实现将安装包中的某个文件进行替换，而且我们知道在Winodws系统可以有xcopy和copy两个命令可以提供该功能；而xcopy命令进行文件复制时会有如下提示： 此时需要手动输入字…
阅读更多...
【算法】单调栈 每日温度 接雨水

【算法】单调栈 每日温度 接雨水

文章目录 例题739. 每日温度42. 接雨水 相关练习1475. 商品折扣后的最终价格901. 股票价格跨度1019. 链表中的下一个更大节点84. 柱状图中最大的矩形 单调栈【基础算法精讲 26】 例题 739. 每日温度 https://leetcode.cn/problems/daily-temperatures/description/ 提示&a…
阅读更多...
麒麟V4搭建本地源

麒麟V4搭建本地源

1.创建本地源目录 mkdir -p /package/pack 2.修改目录权限为_apt属组 chown _apt /package/pack 3.将软件包复制到/package/pack cp -av 软件包 /package/pack 4.修改目录权限为755 chmod -R 755 /package/ 5.创建本地源的index文件 dpkg-scanpackages . | gzip -9c &…
阅读更多...
算法通关村第六村-白银挑战树的层序遍历

算法通关村第六村-白银挑战树的层序遍历

大家好我是苏麟 , 今天说说数的层序遍历 . 层次遍历简介 广度优先在面试里出现的频率非常高，整体属于简单题，但是很多人面试遇到时就直接放弃了，实在可惜。我们本章就集中研究一下到底难在哪里。 广度优先又叫层次遍历，基本过程…
阅读更多...
Oracle-Ogg经典模式升级为集成模式步骤

Oracle-Ogg经典模式升级为集成模式步骤

​前言: Oracle Ogg集成模式比起经典模式功能更加的强大，支持更多的数据类型，压缩表同步，XA事务，多线程模式，PDB模式同步，RAC环境下抽取配置简单等新功能，所以可以选择将经典模式升级转化为集成…
阅读更多...
The service already exists! 安装mysql数据库错误！

The service already exists! 安装mysql数据库错误！

当你输入mysql install命令时报The service already exists! 报错的原因是服务已经存在！ 说明你之前可能已经装过了。 解决方法： 输入sc delete mysql 提示DeleteService 成功,则表示删除成功，你就可以重新输入mysqld install了。 最后显…
阅读更多...
IntelliJ IDEA 2022创建Maven项目

IntelliJ IDEA 2022创建Maven项目

IntelliJ IDEA 2022创建Maven项目 点击New Project 配置一下下 (1). 选择Maven Archetype (2). 输入Name就是你的项目名称 (3). 输入Location是你的项目保存目录 (4). 选择JDK (5). 选择Catalog一般默认选择Internal即可 在Archetype这里我们选择一个模板来创建Maven项目 …
阅读更多...
Mybatis学习（黑马程序员）

Mybatis学习（黑马程序员）

Mybatis操作数据库的步骤： 准备工作(创建springboot工程、数据库表user、实体类User)引入Mybatis的相关依赖，配置Mybatis(数据库连接信息)编写SQL语句(注解/XML 1.创建springboot工程，并导入 mybatis的起步依赖、mysql的驱动包 2.在springb…
阅读更多...
C++ 信息学奥赛 2046：【例5.15】替换字母

C++ 信息学奥赛 2046：【例5.15】替换字母

#include<cstdio> #include<iostream> using namespace std; int main() { char st[200];char A,B; int n0;while((st[n]getchar())!\n); //将原文存放在字符数组st中,并且要注意上述的最后分号 Agetchar();getchar();Bgetchar(); //读取A和B&#xff0c;中间get…
阅读更多...
10 行代码即可检测脸部情绪

10 行代码即可检测脸部情绪

引言 面部表情展示人类内心的情感。它们帮助我们识别一个人是愤怒、悲伤、快乐还是正常。医学研究人员也使用面部情绪来检测和了解一个人的心理健康。 人工智能在识别一个人的情绪方面可以发挥很大的作用。在卷积神经网络的帮助下&#xff0c;我们可以根据一个人的图像或实时视…
阅读更多...
mipi DPHY学习记录

mipi DPHY学习记录

DPHY的内容很多，而且细节很多，我会一点一点的进行补充记录，今天要记录的是cdphy的LP-MODE数据传输的过程。 1：HS 和LP mode lane status 和 lane上的电压 HS mode时，差分线上的电压摆幅为200mv，LP mode时，差分线上的电压为1.2v 2：HS mode data Transmission start 在…
阅读更多...
SHAP（一）：使用 XGBoost 预测英雄联盟获胜

SHAP（一）：使用 XGBoost 预测英雄联盟获胜

SHAP&#xff08;一&#xff09;&#xff1a;使用 XGBoost 预测英雄联盟获胜 本笔记本使用 Kaggle 数据集 英雄联盟排名比赛&#xff0c;其中包含从 2014 年开始的 180,000 场英雄联盟排名比赛。 根据这些数据&#xff0c;我们构建了一个 XGBoost 模型&#xff0c;根据有关该球…
阅读更多...
48基于matlab的经验傅里叶分解，适用于非线性及非平稳时间序列分析，将信号进行精确分解。程序已调通，可直接运行。

48基于matlab的经验傅里叶分解，适用于非线性及非平稳时间序列分析，将信号进行精确分解。程序已调通，可直接运行。

基于matlab的经验傅里叶分解&#xff0c;适用于非线性及非平稳时间序列分析&#xff0c;将信号进行精确分解。程序已调通&#xff0c;可直接运行。
阅读更多...
3D高斯泼溅（Splatting）简明教程

3D高斯泼溅（Splatting）简明教程

在线工具推荐&#xff1a; Three.js AI纹理开发包 - YOLO合成数据生成器 - GLTF/GLB在线编辑 - 3D模型格式在线转换 - 3D场景编辑器 3D 高斯泼溅&#xff08;Splatting&#xff09;是用于实时辐射场渲染的 3D 高斯分布描述的一种光栅化技术&#xff0c;它允许实时渲染从小图像样…
阅读更多...
优先级队列：PriorityQueue常用接口+构造+方法+源码分析+OJ练习

优先级队列：PriorityQueue常用接口+构造+方法+源码分析+OJ练习

文章目录 PriorityQueue常用接口一.PriorityQueue 的特性二.PriorityQueue常用接口介绍1.优先级队列的构造2.插入/删除/获取优先级最高的元素3.PriorityQueue的扩容方式&#xff1a; PriorityQueue常用接口 一.PriorityQueue 的特性 1.Java集合框架中提供了 **PriorityQueue *…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023