謎のコンテナランタイムlinuxd - Qiita
はじめに 本記事はLinux Advent Calenda 2018の最終日、25日目の記事です。 ここ数年、一つないし複数のプロセスから成るアプリをコンテナと呼ばれるサンドボックス上で動かすのが流行っています。このときアプリを動かす実行環境のことをコンテナランタイムと呼びます。このコンテナランタイムには例えば次のようなものがあります。 runC: アプリをそれぞれ別々のnamespace上で実行。カーネルは全アプリで共有。世間的に「コンテナ」というと今はだいたいこれを指す Kata Containers: アプリを個々のアプリ専用VM上で実行 gVisor: アプリをユーザ空間で独自実装されたLinuxカーネルのサブセット上で実行 本記事は最近筆者が気になっているlinuxdというコンテナランタイムについて簡単に紹介したいと思います。 何がどう"謎"なのか タイトルに「謎の」と書いている
Linux containers in 500 lines of code
I've used Linux containers directly and indirectly for years, but I wanted to become more familiar with them. So I wrote some code. This used to be 500 lines of code, I swear, but I've revised it some since publishing; I've ended up with about 70 lines more. I wanted specifically to find a minimal set of restrictions to run untrusted code. This isn't how you should approach containers on anything
GitHub - google/nsjail: A lightweight process isolation tool that utilizes Linux namespaces, cgroups, rlimits and seccomp-bpf syscall filters, leveraging the Kafel BPF language for enhanced security.
Overview What forms of isolation does it provide Which use-cases are supported Isolation of network services (inetd style) Isolation with access to a private, cloned interface (requires root/setuid) Isolation of local processes Isolation of local processes (and re-running them, if necessary) Examples of use Bash in a minimal file-system with uid==0 and access to /dev/urandom only /usr/bin/find in
コンテナの歴史と Linux カーネルのコンテナ関連機能についての割とどうでも良い愚痴 - TenForward
この記事は Linux Advent Calendar 2014 の 18 日目のエントリとして書いています。 Docker が盛り上がって、Docker が使ってる「コンテナ」という技術が盛り上がって、Doker の解説がそこら中にあふれるようになったので「Docker? そんなの FreeBSD が jail でずっと前からできてたぞ」というちょっと的外れな発言を見かけることは少なくなりました。一方でコンテナの歴史を追って見る的な企画をみかけるようになりました。 みかけた歴史の解説でいくつか「ちょっと違うやろー」というものを見かけたのでここで愚痴ります。 コンテナの歴史として大体書かれているのが 1979 年 chroot(2) システムコールの Version 7 Unix への導入 1983 年 chroot(2) システムコールの 4.2BSD への導入 2000 年 FreeB
mjg59 | Linux Container Security
First, read these slides. Done? Good. (Edit: Just to clarify - these are not my slides. They're from a presentation Jerome Petazzoni gave at Linuxcon NA earlier this year) Hypervisors present a smaller attack surface than containers. This is somewhat mitigated in containers by using seccomp, selinux and restricting capabilities in order to reduce the number of kernel entry points that untrusted co
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Linux コンテナの基礎 / OSC 2017 Nagoya
Linux コンテナの基礎 / 9th CTStudy
Linuxコンテナの基本と最新情報 (2014-11-14)