[JavaDevMatt]

Dla tych, którzy ogarniają kontenery.
Co Wam lepiej pasuje w koncepcie karty DevOps Engineer?
Robot, czy koleś na wielorybie?

#programowanie #devops #karciankait #grybezpradu

[d.....h]

@JavaDevMatt Ja jestem nie za robotem, a za cyborgiem. Chodzi o to, że devopsi są o wiele bardzie "dostępni" po godzinach w razie awarii i muszą być gotowi do akcji w każdej chwili. Takie jest moje doświadczenie.

Tak więc moze być programista z rękami robota, jak Jax z mortal kombat, tyle że przed klawiaturą.

[y.....l]

@ManamanaTuriruriru: Jak uid i gid remapowany? Lol, przecież to jakaś masakra, remapowanie uid i gid? Jak to sobie wyobrażasz? Wiesz jak działają uprawnienia w Linuksie oraz cgrupy i namespace?

[ManamanaTuriruriru]

@yggdrasil: wiem, co nie zmienia faktu, że przy użyciu bind volumes się rozjadą

[y.....l]

@ManamanaTuriruriru: Wiesz, ale to jest antypattern. Docker ma swoje przeznaczenie, Ty chcesz wykorzystać go inaczej łamiąc przy okazji zasady obowiązujące w systemach Uniksowych. Można napisać, że to unix sobie nie radzi, a nie docker. :)

[ManamanaTuriruriru]

@yggdrasil: Co nie znaczy, że docker nie mógł by maintaina tego zrobić skoro masa kontenerów, które operują na bindvolume używa gosu czy pokrewnych i tworzy usera z podanego uid czy gid, na przykład Redis.

[y.....l]

@ManamanaTuriruriru: To jak chcesz tak robić to sobie zaimplementuj. Ja bym na przykład nie chciał żeby tak było bo to mega security issue.

[ManamanaTuriruriru]

@yggdrasil: a teraz wg Ciebie to nie jest mega issue gdzie możesz operować domyślnie w kontenerze na uid i gid roota? Moim zdaniem całe uidy i gidy systemowe nie powinny się nie pokrywać z tymi z hosta by włączyć możliwość właśnie operowania na systemie

[y.....l]

@ManamanaTuriruriru: Dlatego to zawsze wyłączam. :)

[ManamanaTuriruriru]

@yggdrasil: więc doszliśmy do mojej pierwotnej logiki, że przemapowanie tego miało by jakiś sens ;)

[y.....l]

@ManamanaTuriruriru: Nie, bo tak unix nie działa i z punktu widzenia security jest to złe. Możesz to sobie robić we własnym zakresie. Ja kiedyś potrzebowałem uruchamiania dockera tak aby miał dostęp r/w do plików w katalogu usera. Zrobiłem sobie etapowe, który mi to robił. Z automatu to bardzo złe, bo ściągasz sobie kontener z neta, który teza ci polowe systemu.

[ManamanaTuriruriru]

@yggdrasil: przecież teraz tak jest bo w 99% kontenerów masz tylko roota 0:0

[y.....l]

@ManamanaTuriruriru: No nie... Używałeś kiedy produkcyjne kontenerów? Pierwsze co robisz to nie zezwalasz na uruchomienie kontenera z rootem.