ฉันโฮสต์เซิร์ฟเวอร์แล็บที่ฉันรูท (และเป็นผู้ใช้ทั่วไป)
ชื่อโดเมนคือ example.org และฉันให้โดเมนย่อยแก่สมาชิกแต่ละคน เช่น bob.example.org สำหรับ Bob และ anna.example.org สำหรับผู้ใช้ Anna ฉันคิดว่าคุณได้รับข้อตกลง :) โดเมนย่อยถูกย้อนกลับพร็อกซีโดยใช้ nginx ไปยังพอร์ตเฉพาะ
คำถามของฉันคือมีวิธีใดบ้างที่ฉันสามารถให้สิทธิ์แก่ผู้ใช้ที่ไม่ใช่รูทเพื่อเริ่มคอนเทนเนอร์นักเทียบท่าในช่วงพอร์ตเฉพาะของพวกเขา ตัวอย่างเช่น Anna ได้รับช่วง 1300-1350 โดยที่พอร์ต 1300 ถูกผูกไว้กับ anna.example.org และพอร์ตอื่นสำรองไว้
ระบบใช้งาน Debian 11 Bullseye และ Docker เวอร์ชันล่าสุด
AFAIK Linux มีเฉพาะพอร์ตที่ได้รับสิทธิพิเศษตามแนวคิดเท่านั้นเมื่อเทียบกับพอร์ตที่ไม่มีสิทธิพิเศษ
พารามิเตอร์การปรับแต่งเคอร์เนลของ Linux net.ipv4.ip_unprivileged_port_start กำหนดว่าพอร์ตใดจะได้รับสิทธิพิเศษ พอร์ตทั้งหมดระหว่าง 0 ถึง net.ipv4.ip_unprivileged_port_start ได้รับสิทธิพิเศษ
พอร์ตที่มีสิทธิพิเศษสามารถใช้ได้เฉพาะโดยกระบวนการที่เริ่มต้นโดยผู้ใช้รูทหรือด้วยสิทธิ์รูท หรือโดยกระบวนการที่กำหนด ความสามารถ CAP_NET_BIND_SERVICE ตัวอย่างเช่น sudo setcap cap_net_bind_service=ep /path/bin/application
พอร์ตอื่นๆ ทั้งหมดไม่มีสิทธิ์ใช้งานและผู้ใช้ทุกคนสามารถใช้ได้ ตราบเท่าที่พอร์ตนั้นยังไม่ได้ใช้งาน
ฉันไม่ทราบวิธีอื่นในการอนุญาตให้ผู้ใช้เฉพาะใช้พอร์ตเฉพาะ
ก่อนอื่น เฉพาะผู้ใช้ที่เชื่อถือได้เท่านั้นที่ได้รับอนุญาตให้ควบคุม Docker daemon ของคุณ
docker daemon ทำงานเป็นรูทโดยค่าเริ่มต้นในการติดตั้ง Debian Bullseye การเพิ่มผู้ใช้ใน นักเทียบท่า กลุ่มให้สิทธิ์การเข้าถึงรูท psuedo แก่ผู้ใช้เนื่องจากมีการควบคุม docker daemon ที่มีจำนวนการเข้าถึงนั้น ผู้ใช้ทุกคนในกลุ่มนักเทียบท่าจะสามารถควบคุมโฮสต์และคอนเทนเนอร์อื่นๆ ได้อย่างสมบูรณ์ และสามารถเรียกใช้คอนเทนเนอร์ที่ --เผยแพร่พอร์ตใดก็ได้
มีตัวเลือกไม่กี่ตัวในการรักษาความปลอดภัยให้กับการเข้าถึงนักเทียบท่าของผู้ใช้
ซูโดก การตั้งค่านักเทียบท่าที่ไม่มีรูท จะช่วยให้ผู้ใช้แต่ละคนเรียกใช้ docker deamon สำหรับพอร์ตที่ต่ำกว่า 1,024 จะต้องปฏิบัติตาม ข้อมูลพอร์ตที่ไม่มีสิทธิพิเศษ บ็อบจัดให้เนื่องจากผู้ใช้แต่ละคนจะ "เป็นเจ้าของ" เดมอนของตนเอง นักเทียบท่ายังมีให้ คำแนะนำที่เกี่ยวข้อง. สิ่งนี้จะไม่ทำให้แอนนาหยุดรับพอร์ตบ็อบส์
ซูโดวิธีที่ง่ายที่สุดในการอนุญาตให้ผู้ใช้รันคำสั่งนักเทียบท่าคือการจัดเตรียมสคริปต์ควบคุมรูทผ่าน sudo ที่เป็นสแตติก หรือควบคุมอินพุตของผู้ใช้สำหรับอาร์กิวเมนต์ทางเลือก:
#!/bin/bash
นักเทียบท่าเรียกใช้ --detach --เผยแพร่ 1300:1300 anna/app-image
anna ALL=(root) NOPASSWD: /usr/local/bin/start-anna-image
หากคุณต้องการให้ผู้ใช้สามารถเพิ่มตัวเลือกของตนเองได้ คุณต้องระมัดระวังอย่างมากเกี่ยวกับการควบคุมการป้อนข้อมูลของพวกเขา เนื่องจากมันง่ายที่จะ
เนื่องจาก Docker ไม่มีชั้นการอนุญาตใดๆ บน daemon คุณต้องเพิ่มบางอย่างเพื่อควบคุมการเข้าถึงของผู้ใช้
นักเทียบท่ามีมาให้ในตัว ปลั๊กอินการอนุญาต กรอบงานเพื่อเปิดใช้งานสิ่งนี้ ตัวอย่างบางส่วนคือ opa-docker-authz และ casbin-authz-ปลั๊กอิน
คุณสามารถให้ผู้ใช้เข้าถึงรูปแบบของพร็อกซี API ที่ให้การรับรองความถูกต้องและการให้สิทธิ์เหนือสิ่งที่ส่งต่อไปยัง Docker REST API มีไลบรารีนักเทียบท่าสำหรับภาษาโปรแกรมส่วนใหญ่Kubernetes+RBAC เป็นตัวอย่างของ API ที่อยู่ด้านหน้าของ Docker daemon และควบคุมการเข้าถึง (เป็นเพียงอันที่ใหญ่/ซับซ้อนที่ทำได้มากกว่านั้นมาก)
ตราบใดที่พอร์ตไม่มีสิทธิพิเศษ ผู้ใช้ที่ไม่ใช่รูทสามารถผูกกับพอร์ตใดก็ได้ (มากกว่า 1,024) พวกเขาสามารถเริ่มคอนเทนเนอร์ด้วย:
นักเทียบท่าเรียกใช้ -- เปิดเผย 1300-1350 <ชื่อภาพ>
มาก่อนได้ก่อน หากโปรแกรมสองโปรแกรมพยายามผูกเข้ากับพอร์ตเดียวกัน มีเพียงโปรแกรมแรกเท่านั้นที่ผูกได้สำเร็จ
สำหรับพอร์ตที่มีสิทธิพิเศษ (น้อยกว่า 1024) คุณต้องมีความสามารถในการรูทหรือ CAP_NET_BIND_SERVICE ดู ความสามารถของผู้ชาย สำหรับรายละเอียด
โดเมนย่อยถูกย้อนกลับพร็อกซีโดยใช้ nginx ไปยังพอร์ตเฉพาะ
คุณสามารถพร็อกซีโดเมนย่อยไปยังซ็อกเก็ต Unix
proxy_pass http://unix:/var/run/anna.sock:/;
ทำซ้ำตามความจำเป็นสำหรับแต่ละโดเมนย่อย และตั้งค่าการอนุญาตบนซ็อกเก็ต Unix เพื่อให้เฉพาะผู้ใช้ที่คุณต้องการเท่านั้นที่สามารถฟังที่นั่นได้
โปรดทราบว่าผู้ใช้ที่สามารถเรียกใช้คอนเทนเนอร์ Docker สามารถติดตั้งได้ /etc/passwd เข้าไปในพวกเขาและรับรูต ดังนั้นจึงต้องได้รับการป้องกันแยกต่างหาก
แค่อยากเพิ่มมุมมอง...งานเข้าอีกแน่นอน! แต่ที่น่าสนใจ...
พิจารณาใช้งานคอนเทนเนอร์ออร์เคสตรา เช่น Kubernetes. เช็คเอาท์ ชนิด (Kubernetes-in-Docker) สำหรับวิธีที่น่าสนใจในการรันคลัสเตอร์ Kubernetes บนโหนดเดียวที่มีเพียง Docker เท่านั้น
ตัวอย่างเช่น คุณสามารถทำบางอย่างเช่น
บ็อบ-น และ แอนนา-น.บริการ ในแต่ละเนมสเปซ เปิดเผยพอร์ตที่ระบุฝัก(การจัดกลุ่มคอนเทนเนอร์) ในเนมสเปซ ทำให้สามารถรับทราฟฟิกจากสิ่งที่กำหนดได้ บริการ ในเนมสเปซของพวกเขาหากคุณจัดโครงสร้างบทบาทให้ถูกต้อง ผู้ใช้อาจได้รับอนุญาตให้เปิดใช้คอนเทนเนอร์ที่ต้องการในเนมสเปซ แต่จะไม่ได้รับอนุญาตให้แก้ไข บริการ ซึ่งกำหนดพอร์ตที่เปิดเผย
สิ่งนี้ทำให้ง่ายขึ้นเพราะเห็นแก่พื้นที่ แต่สิ่งดั้งเดิมที่บางอย่างเช่น k8s มอบให้นั้นยอดเยี่ยมสำหรับระบบที่มีผู้เช่าหลายคนเช่นนี้
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
