컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

제

4

장

컨테이너 격리

68

는 프로그램은

sh

의 이름공간들을 물려받는다. 이 시점에서

hostname

명령은 호스트 컴퓨터

의

UTS

이름공간과는 격리된 새

UTS

이름공간 안에서 실행되므로, 여기서 호스트 이름을 변

경해도 호스트 컴퓨터의 호스트 이름은 변하지 않는다.

exit

명령을 실행하기 전에 같은 호스트에서 다른 터미널 창을 열어서 호스트 이름을 확인

해 보면 전체 컴퓨터 (또는

VM

)의 호스트 이름이 변하지 않았음을 확인할 수 있다. 마찬가지

로, 호스트 컴퓨터의 호스트 이름을 변경해도

sh

셸 프로세스(개별적인

UTS

이름공간을 사용

하는 )의 호스트 이름은 변하지 않는다.

이러한 이름공간 격리는 바로 컨테이너 작동 방식의 핵심 요소 중 하나이다. 이름공간 은 호

스트 컴퓨터와 독립적인, 그리고 다른 컨테이너들과도 독립적인 자원 집합을 컨테이너에 부여

한다.

VM

이 아니라 동일한 리눅스 커널 안에서 실행되는 프로세스인데도 그런 일이 가능한 것

이다. 이 점이 컨테이너 보안에 뜻하는 바는 이번 장에서 나중에 좀 더 이야기하겠다. 일단 지

금은 이름공간의 또 다른 예를 살펴보자. 이번에는 컨테이너가 볼 수 있는 실행 중 프로세스들

을 격리하는 방법을 소개한다.

4.3

프로세스

ID

격리

도커 컨테이너 안에서

ps

명령을 실행하면 그 컨테이너 안에서 실행되는 ...