docker中的安全机制

有时候我们需要容器具有更多的权限,像如操作内核模块,控制swap交换分区,挂载usb磁盘,修改mac地址等。所以我们今天进行docker的安全设定。

一、使用docker命令设置docker的安全机制

1、设置特特权级运行的容器: --privileged=true

--->  docker run -it --name vm3 ubuntu     # 此时我们可以看到在容器内,虽然是超级用户,但是还是没有执行权限

docker中的安全机制

--->  docker  run  -it  --name  vm4  --privileged=true  ubuntu      # 使用权限之后,可以对eth0进行down操作。

docker中的安全机制

docker中的安全机制

2、设置允许容器占用的内存大小和swap分区大小 (首先我们需要安装stress包,进行压测试)

--->  docker run --rm  -it --name  vm1  -m 100M --memory-swap 100M stress --vm  1 --vm-bytes  90M    # 设置提供给vm1的内容大小为100M,内存加交换分区为100M,最大的压测也为100.若内存大与100时,或出现失败

注意:内存不能大与内存加swap分区的大小;若只有内存大小,没有memory-swap的值时,则默认情况下swap分区大小和memor相同。

3、限制容器占用的cpu

--->  docker  run  --rm -it --cpu-shares 512 stress -c 4                 # 可以使用lscpu命令查看系统的内核数(此时为4)

--->  docker  run  --rm -it --cpu-shares 1024 stress -c 4

# cpu-shares为容器的优先级,-c参数表示容器的内核数 。此时我们可以看到1024的优先级高(若在内核数充足的情况下,则看不出优先级)

4、为每秒写入块设备的数据设定上限

--->  docker run --rm -it --privileged=true --device-write-bps /dev/sda:10M ubuntu
--->  dd if=/dev/zero of=file bs=1M count=100 oflag=direct          # 在容器中截取100M的文件,此时我们可以看到每秒写入的为10M左右

注意:direct 模式就是把写入请求直接封装成io指令发到磁盘;非direct 就把数据写入系统缓存,然后就认为io成功,由操作系统决定缓存中的数据什么时候被写入磁盘
二、利用cgroup对docker做权限限制

LINUX Cgroup是linux内核提供的用于限制、记录、隔离进程组可以使用的资源(cpu、memory、io等)的一种机制。

1)对mem内存进行限制

1、首先安装cgroup管理工具、并启动服务。此时我们在rhel6.5的进行操作

--->  yum search  cgroup

--->  yum install -y libcgroup.x86_64     # 安装之后,我们可以在根目录下看到名为cgroup的空文件

docker中的安全机制

--->  /etc/init.d/cgconfig  start           # 启动服务(若是出现启动问题,可以切换到~目录下重新启动)

docker中的安全机制

# 当启动服务之后,会在/cgroup目录下产生文件

2、对内存资源使用进行编写

--->  cd  /cgroup/memory

--->  cat  memory.limit_in_bytes    # 该文件存放内存的吞吐量(无穷大)

--->  vim  /etc/cgconfig.conf       # 编写配置文件(在最后一行添加如下内容)

group  x1 {

    memory {
        memory.limit_in_bytes = 209715200;    # 限制使用的最大内存数2MB
        memory.memsw.limit_in_bytes = 209715200;  # 限制内存和交换分区之和;与内存大小相同表示swap分区为0
    }
}

--->  cd  ~             # 启动服务要切换目录

--->  /etc/init.d/cgconfig  restart    # 我们可以在/cgroup/memory目录下看到x1目录

3、测试

--->  cd  /dev/shm

--->  cgexec  -g  memory:x1  dd  if=/dev/zero  of=file  bs=1M  count=100    # 截取100M的文件(此时全部使用memory的空间)

docker中的安全机制

# 截取200M的时候会出现文件大小超额,被killed。虽然说我们设置的文件大小为200M的,但实际使用的要比200M少一点;不过文件大小已经改变了。

docker中的安全机制

2)对cpu的限制

1、查看系统中默认cpu的限制

docker中的安全机制

2、编辑资源配置文件

--->  vim  /etc/cgconfig.conf            # 在最后一行添加如下内容

group  x2 {

        cpu {
                cpu.shares = 100;   #对进程调度程序所处理的进程组设置cpu时间分配的比重。(默认为1024)
        }
}

--->  cd  ~

--->  /etc/init.d/cgconfig  restart          # 重启服务

3、测试

--->  cd  /dev/shm

--->  cgexec  -g  cpu:x2 dd if=/dev/zero  of=/dev/null &         # 此时,使用top查看cpu的使用情况,可见该命令cpu使用率高达99.9%

docker中的安全机制

3)对磁盘空间的读写速度的限制

Cgroup中每个子系统(SubSystem)对应一种资源,其中Cgroup blkio子系统用于限制块设备I/O速率。相比io调度权重,iops和bps限制更加直接和量化,更适合用于限制docker容器磁盘IO上限。

1、首先查看blkio的的参数

docker中的安全机制

2、编辑配置文件,对块设备的读写速度进行限制

--->  vim /etc/cgconfig.conf

group x3 {

    blkio {
        blkio.throttle.read_bps_device = "252:0 1000000";  # 250:0是/dev/vda块设备的信息

}
}

docker中的安全机制

--->  cd

--->  /etc/init.d/cgconfig.conf          # 重启服务

3、测试(读取数据的速度维持在了1000K左右)

--->  yum install -y  iotop       # 方便查看io的实时状态

--->  cd  /dev/shm

--->  cgexec  -g  blkio:x3  dd if=/dev/vda  of=/dev/null  &  # 在/dev/vda中读取数据,并且查看读取速度

--->  iotop

docker中的安全机制

docker中的安全机制

4)freezer子系统

freezer子系统用于挂起和恢复cgroup中的进程。我们知道freezer中有一个控件freezer.state,将FROZEN写入该文件,可以将cgroup中的进程挂起,将THAWED写入该文件,可以将已挂起的进程恢复。该文件可能读出的值有三种,其中两种就是前面已提到的FROZEN和THAWED,分别代表进程已挂起和已恢复(正常运行),还有一种可能的值为FREEZING,显示该值表示该cgroup中有些进程现在不能被frozen。当这些不能被frozen的进程从该cgroup中消失的时候,FREEZING会变成FROZEN,或者手动将FROZEN或THAWED写入一次。

1、编辑配置文件

--->  vim  /etc/cgconfig.conf

group x4 {

    freezer {}              # 表示允许对进程的状态进行改变
}

--->  /etc/init.d/cgconfig   restart

2、在freezer目录下查看文件的状态

--->  cd  /cgroup/freezer/x4

--->  cat freezer.state          # 此时的状态为THAWED

--->  dd  if=/dev/zero  of=/dev/null   &       # 截取一个空间大小,并使用 top查看命令的cpu利用率(大致消耗百分之百)

docker中的安全机制

docker中的安全机制

3、当出现这种情况的时候,我们不能立即杀死该进程(由于他和某些进程占用某些资源,若现在是他使用资源,则kill之后,占用的资源会进行释放,此时会影响别的进程);此时,我们应该将该进程进行“冰冻”,然后检查对其他进程是否有影响,然后判断之后的执行。。。

--->  ps   -ax             # 查看该进程的信息。并修改该进程的状态为frozen

docker中的安全机制

三、Docker中私有镜像库的创建

1.在网上拉取仓库的镜像registry

--->  docker  pull  registry      # 注意此时要有镜像加速器

docker中的安全机制

2、设定仓库对外的端口号为5000

--->  docker run -d -p 5000:5000 -v /opt/registry:/var/lib/registry registry
--->  netstat -natlp | grep 5000     # 查看为docker开启的端口

docker中的安全机制
3、将nginx上传到自己的镜像仓库中
--->  docker tag  nginx  localhost:5000/nginx     # tag可以改变镜像的名称
--->  docker  pull  localhost:5000/nginx          # push可以将docker中的镜像上传到仓库(此时可在/opt/registry中看到镜像信息)
docker中的安全机制
4、在/opt/registry中目录如下显示(上传的方式是逐层上传)
--->  yum install  -y  tree
--->  cd  /opt/registry
--->  tree  .                      # 这里只截取部分内容
docker中的安全机制
5、删除镜像库中的镜像
--->  docker rmi  localhost:5000/nginx       # 删除自己tag出来的nginx(执行后状态为untagged,并不是真正的删除)
--->  docker  rmi  nginx                   # 删除nginx镜像
docker中的安全机制

docker中的安全机制
6、重新上传nginx镜像
--->  docker pull localhost:5000/nginx      # 从仓库中拉取nginx镜像,端口是5000
--->  docker tag  localhost:5000/nginx  nginx  # 修改镜像库名称(原镜像也会存在)
--->  docker  images  nginx                    # 查看nginx镜像的信息
docker中的安全机制

上一篇:VB API 之 第六课 字体应用三


下一篇:Nginx+Tomcat实现反向代理与动静分离