컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

3.7 요약

61

3.7

요약

cgroups

기능은 리눅스 프로세스의 자원 사용을 제한한다. 컨테이너를 사용하지 않아도

cgroups

의 기능을 활용할 수 있지만, 도커나 기타 컨테이너 런타임들은

cgroups

활용을 위

한 편리한 인터페이스를 제공한다. 컨테이너를 실행할 때 자원 한계들을 아주 간편하게 설정할

수 있으며, 그러면 그 한계들을 강제하는 제어 그룹들이 자동으로 생성, 적용된다.

자원을 제한하면 자원을 과도하게 사용해서 적법한 응용 프로그램들을 고갈시킴으로써 배

치본의 실행을 방해하려는 여러 공격을 방어할 수 있다. 컨테이너 응용 프로그램들을 실행할

때는 메모리와

CPU

사용량의 상한을 설정하는 것이 바람직하다.

이번 장에서 컨테이너가 사용하는 자원들을 제한하는 방법을 익혔으니, 컨테이너를 구성하

는 나머지 퍼즐 조각들로 넘어갈 준비가 되었다. 다음 장인 제

4

장에서는 이름공간과 루트 디렉

터리 변경을 소개한다.