cgroupsに影響するLinuxの新たな脆弱性CVE-2022-0492 コンテナエスケープの条件は
By Yuval Avrahami March 3, 2022 at 5:09 PM Category: Cloud Tags: containers, CVE-2022-0492, Linux, vulnerabilities This post is also available in: English (英語) 概要 2022年2月4日、Linuxはカーネルにおける新たな特権昇格脆弱性CVE-2022-0492を公表しました。CVE-2022-0492はコンテナの基本構成要素であるLinuxの機能、コントロールグループ(cgroup)における論理バグです。この問題は最近発見されたLinuxの権限昇格脆弱性のなかでもとりわけその単純さできわだつもので、「Linuxカーネルが誤って特権的オペレーションを非特権ユーザーに公開してしまった」という内容になっています。 さいわい、ほとんどのコン
KubernetesのResource Requests & Resource Limitsの内部処理をソースコードレベルで読み解く - inductor's blog
はじめに この記事は筆者がKubeCon EU 2021にて発表した「Resource Requests and Limits Under the Hood: The Journey of a Pod Spec」の内容を中心とし、ブログ向けにまとめなおしたものです。 www.youtube.com 日本語でこのリソース要求/制限について内部の仕組みまで踏まえて詳細に書かれた記事はあまりないので、誰かの助けになれば幸いです。 はじめに Kubernetesにおけるリソースの要求と制限 スケジューラーによるスコアリング ノードでのPod作成処理 Requests全体の流れ Limits全体の流れ CRI内部の処理 OCI内部の処理 まとめ Kubernetesにおけるリソースの要求と制限 Kubernetes上でアプリケーションを実行する際、ワークロードの特性に応じて以下のような形で必要なリソ
Cloning into a control group [LWN.net]
The Linux control-group mechanism was designed to make it easy to assign processes to groups or move them around; it is a simple matter of writing a process ID to the appropriate cgroup.procs file in the control-group filesystem hierarchy. That only works for processes that actually exist, though. Adding the ability to place a new process into a control group at birth is the subject of this patch
Proposal: Intel RDT/CAT support for OCI/runc and Docker · Issue #433 · opencontainers/runc
Status: Intel RDT/CAT support for OCI and Docker software stack Intel RDT/CAT support in OCI (merged PRs): 1. Intel RDT/CAT support in OCI/runtime-spec opencontainers/runtime-spec#630 opencontainers/runtime-spec#787 opencontainers/runtime-spec#889 opencontainers/runtime-spec#988 2. Intel RDT/CAT support in OCI/runc #1279 #1589 #1590 #1615 #1894 #1913 #1930 #1955 #2042 TODO list - Intel RDT/CAT sup
Recent advances in the Linux kernel resource management
This document discusses recent advances in Linux kernel resource management through control groups (cgroups). It provides background on containers and their implementation, outlines existing resource management mechanisms and their shortcomings, and describes how cgroups provide a generic mechanism for grouping tasks and controlling their access to resources like CPU, memory, disk I/O through hier
第5回 Linuxカーネルのコンテナ機能［4］ ─cgroupとは？（その3） | gihyo.jp
サブシステム紹介（続き） 今回は前回紹介できなかったサブシステムを紹介したあと、cgroup開発の現状に少し触れたいと思います。 Memoryサブシステム コンテナに対してメモリの制限を行いたい場合に使用するのがmemoryサブシステムです。cgroupに対して制限値を設定したり、cgroupのメモリ使用量の監視をしたりできます。 まずは制限を設定してみましょう。制限を設定するには以下の2つのファイルに値を書き込みます。 memory.limit_in_bytes メモリ消費量の制限値の設定と表示（バイト） memory.memsw.limit_in_bytes メモリ+スワップメモリの消費量の制限値の設定と表示（バイト） スワップの消費量も含めた制限を設定したい場合は後者を、スワップの消費量はカウントしない場合は前者を使用します。制限値の設定にはk、K、m、M、g、Gといった単位の文字が
「コンテナ型仮想化の情報交換会＠東京」で発表してきた
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 ということで、先日「コンテナ型仮想化の情報交換会＠東京」に参加して発表もしてきました。元々、主催者の加藤さんは僕が尊敬するエンジニアの1人でもあり、何かお手伝いできると良いなと思っていて、発表のお誘いを受けた時はとてもうれしく思いました。また、今回はTwitter上ではそれなりにお話している人達にも沢山あえるということで、バーチャルな世界から初めて東京に出ていくという意味で恥ずかしくもワクワクするような勉強会でした。発表個々の感想はこれから続くであろう参加者の皆様の参加エントリに期待して、このエントリには勉強会全体の感想を書き綴ろうと思います。 @matsumotory さんの周囲をペパボの面々 がぐるっと取り囲んでいる — ito hiro
redhat.com | jboss document
For customersCustomer supportDocumentationSupport CasesSubscription managementRed Hat Ecosystem CatalogFind a partnerFor partnersPartner loginPartner supportBecome a partnerTry, buy, & sellRed Hat MarketplaceRed Hat StoreContact SalesStart a trialLearning resourcesTraining and certificationFor developersHybrid cloud learning hubInteractive labsLearning communityRed Hat TVOpen source communitiesAns
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Understanding CPU throttling in Kubernetes to improve application performance #k8sjp
https://events.static.linuxfound.org/sites/events/files/slides/cgroup_and_namespaces.pdf
Whither cgmanager
A control group manager [LWN.net]
Introducing cgmanager