Container Sicherheit

Kapitel 4. Container-Isolierung

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: [e-mail]

In diesem Kapitel erfährst du, wie Container wirklich funktionieren! Dies ist wichtig, um zu verstehen, inwieweit Container voneinander und vom Host isoliert sind. Du wirst in der Lage sein, selbst zu beurteilen, wie stark die Sicherheitsgrenze ist, die einen Container umgibt.

Wie du weißt, wenn du schon einmal docker exec <image> bash ausgeführt hast, sieht ein Container von innen ähnlich aus wie eine virtuelle Maschine. Wenn du Shell-Zugriff auf einen Container hast und ps aufrufst, kannst du nur die Prozesse sehen, die in ihm laufen. Der Container verfügt über einen eigenen Netzwerkstack und scheint ein eigenes Dateisystem mit einem Root-Verzeichnis zu haben, das in keiner Beziehung zu Root auf dem Host steht. Du kannst Container mit begrenzten Ressourcen betreiben, z. B. mit einer begrenzten Menge an Arbeitsspeicher oder einem Bruchteil der verfügbaren CPUs. Das alles geschieht mit Hilfe der Linux-Funktionen, die wir in diesem Kapitel näher erläutern werden.

So sehr sie sich oberflächlich betrachtet auch ähneln mögen, ist es wichtig zu erkennen, dass Container keine virtuellen Maschinen sind. In Kapitel 5 werden wir uns die Unterschiede zwischen diesen beiden Arten der Isolierung ansehen. Meiner Erfahrung nach ist es absolut wichtig, die beiden Arten von Isolation zu verstehen und voneinander abzugrenzen, um zu ...