30 Dec
2017
30 Dec
'17
2:52 p.m.
Cauves Tome,
1) jak jsem psal, musime se (minimalne ze zacatku) podelit o 32bit
uid/gid space, takze jojo, user namespace bude, aj nested, kazdy clen
jich bude moct mit nekolik nezavislych, aby sis mohl vyizolovat
kontejnery aj mezi sebou (ale pak si neuvidi na data pres NFS,
NAS/backupy/... budou specificke danemu rozsahu UID/GID daneho clena).
On ten user namespace musi byt spravne pouzity, aby daval smysl (od
cehoz presne mame osctl). A jeste nesmi byt sam - u nas pojedeme
minimalne AppArmor, ale jeste cekam i nejake eBPF filtry na kritickych
syscallech a podobne.
Dalsi vec, co si slibuju od naseho custom setupu a noveho jadra, je
casem moznost zacit autogenerovat live patche, takze pripadne nove
zranitelnosti pujde zaplatovat za ziva bez rebootu. Hodne z toho uz je v
4.14 LTS kernelu, ale ne vsechno a tak cekam, ze live patching budeme
resit za chodu az s nejakym druhym-tretim LTS kernelem potom.
2) vpsAdmin je aktualne z vetsi casti v Ruby, webui preziva v PHP proste
proto, ze se nenasel nikdo, kdo by to preklopil nakomplet do browseru
(protoze to server-side uz vlastne byt vubec nemusi).
/snajpa
On 2017-12-29 18:04, Tomas Volf wrote:
Ahoj Snajpa,
mel bych na tebe k tomuhle celemu dva dotazy :)
1) V LXC pojede i userns? Nebojis se toho z hlediska bezpecnosti? Ja
musim priznat, ze to nejak extra nesleduju ale archlinux na to mel
otevreny bug asi posledni 3 roky kde tohle (userns) porad odmitali ze
se v tom co chvili najdou nejaky security diry. Nakonec to zaclenili
ale default off. Usoudil jsi ze uz je to safe enough a nebo to proste
v nasem konkretnim pouziti neni problem?
2) regarding vpsadmin, planujete to porad drzet v php a nebo na tom
nelpite a treba ruby (v tom uz stejne je vpsfree commandline client
ne?) by slo taky?
Diky za info :)
W.
Original Message
From: snajpa(a)snajpa.net
Sent: Friday, December 29, 2017 16:57
To: Petr Stefan
Reply To: vpsFree.cz Community list
Cc: vpsFree.cz Community list
Subject: Re: [vpsFree.cz: community-list] vpsAdminOS
On 2017-12-28 23:22, Petr Stefan wrote:
Ahoj,
Haha, jakpak nezkouseli: my se *musime* snazit najit co nejvetsi
featurovou paritu s tim, co bezime ted. A ted nam tam KVM jede a jede i
Docker (akorat stary). LXC taky, akorat ne kompletni s userns.
No, takze, KVM uz jsme zkouseli a funguje (libvirt vypada, ze pojede
asi
taky, ale nejsem si 100% jisty).
Docker bude fungovat s patchem, az se mu vysvetli, ze nema sahat na
AppArmor, ze ten uz je nastaveny a mimo jeho dosah (tj. patch do
upstream Dockeru, melo by byt feasible v poho).
Nested LXC jede uz ted, i s userns.
Michalovi:
No idealne je cilem, abys mohl jet ve finale ten samy setup (ale treba
jenom jednonodove-odlehceny), jako nam bezi v produkci, abys idealne
mohl presouvat zalohy/klony tam a zpatky (coz na nejakou automagii je
pomerne ve vzdaleny budoucnosti, ale samotnej host OS na LXC
kontejnerovani uz muzes cca pouzit ted hned).
/snajpa
No a to 'neco' shodou okolnosti uz
stavime nejakou chvili, jako lehky
container host OS nad not-os [1], ktery vychazi z NixOSu [2].
O spravu kontejneru (LXC) se ve vpsAdminOS stara osctld [4], co je v
podstate nase variace na LXD; akorat pro nas rovnou napojena na
vpsAdmin a tak ovladani z hostOS bude mit napojeni na vpsAdmin. Uz se
nebude stavat, ze na nodu je nastavene neco nekonzistentne s tim, co
si mysli vpsAdmin, protoze vpsAdmin se o svoje 'ovecky' (nody) ve
finale postara uplne sam. A hlavne, osctl ma podporu user namespace
Done Right (tm), coz je pro pro LXD i Docker, umim si predstavit,
dost
pain vubec v takovych rozmerech uvazovat (kdyz je potreba vyrobit
jednoho usera per user-namespace a pridelit mu mapu tak, aby se
neprekryvala; LXD treba pouziva mappingy pod jednim userem, co
potencialne dava moznost se zas pod tim jednim userem sejit pri
utikani z kontejneru).
Cilem je dostat co nejfunkcnejsi a co nejizolovanejsi kontejnery,
zatim jsme v early fazi, kdy nam to bootuje, kontejnery se daji
vytvaret, startovat, maji konzoli a da se v nich uz neco bezet. Bezi
nam Hydra, mame cca predstavu, jak to cele budeme updatovat a
rekonfigurovat za chodu, ale potrebujeme to zacit zkouset.
diky za super zpravy. Chapu ze jste zatim zadne pokrocilejsi veci
nezkouseli, ale zajimalo by me zda planujete podporu nested
virtualizace. Myslim ze se spravnym nastvenim hosta by to nemel byt
problem, ale chce to asi vyzkouset. Jde mi zhruba o Docker a LXC
kontejnery (do kterych bych rad prevedl to co nyni provozuji v Dockeru
pokud to pujde), nektere cleny asi zajima i KVM.
Budu se tesit na dalsi zpravy :).
-Petr
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list