RootlessモードでDockerをより安全にする [DockerCon発表レポート]
NTTの須田です．Moby (≒Docker)，BuildKit，containerdなど，コンテナ関連のオープンソースソフトウェアのメンテナ (開発委員．コミッタとも．)を務めています．また，Docker Meetup Tokyoの企画・運営も行っています． 2019年4月29日～5月2日にかけて， Docker公式のカンファレンスである DockerCon が サンフランシスコにて開催されました． Dockerをより安全に使うための技術「Rootlessモード」に関して発表してきましたので，紹介します． RootlessモードとはRootlessモードは，Dockerデーモン及びコンテナを，非rootユーザで実行する技術です．Rootlessモードを用いることにより，万一Dockerに脆弱性や設定ミスがあっても，攻撃者にホストのroot権限を奪取されることを防ぐことが出来ます． 須田は
![RootlessモードでDockerをより安全にする [DockerCon発表レポート]](https://cdn-ak-scissors.b.st-hatena.com/image/square/8edaab8c00507a5f7a67fc792241d0540db596d3/height=288;version=1;width=512/https%3A%2F%2Fmiro.medium.com%2Fv2%2Fresize%3Afit%3A638%2F0%2AEJxWr4P_uyg5UFm1)
ローカルマシンにコンテナとKubernetes環境などを構築する「Podman Desktop 1.5」リリース。導入設定が容易に、コマンドパレットも使いやすく
ローカルマシンにコンテナとKubernetes環境などを構築する「Podman Desktop 1.5」リリース。導入設定が容易に、コマンドパレットも使いやすく Red Hatは、GUIでDockerコンテナやKubernetesの操作を可能にするオープンソースのデスクトップアプリケーション「Podman Desktop 1.5」のリリースを発表しました。Windows、Mac、Linuxに対応します。 #Podman Desktop 1.5 is here, offering faster onboarding with guided setup and configuration and deeper insights with an expanded summary tab for #Kubernetes pods. Check out these features and more
DockerとPodmanの比較 [Container Runtime Meetup #3]
Container Runtime Meetup #3 発表資料 「DockerとPodmanの比較」PodmanとはPodmanは、Red Hat社を中心とするコミュニティが開発している、Docker互換のコンテナエンジンです。RHEL、CentOS、Fedora などの Linuxディストリビューションに標準で付属しています。 Podmanの使い方は、コマンド名が docker ではなく podman である点を除けば、Docker とほぼ同じです。(例: podman run -p 80:80 --name nginx docker.io/library/nginx ) “Podman”は “Pod Manager” を意味しますが、Podmanを用いてKubernetesのPodを管理することは、基本的にはできません。ただし、CRIランタイムとしてCRI-Oを用いている場合に限り、
![DockerとPodmanの比較 [Container Runtime Meetup #3]](https://cdn-ak-scissors.b.st-hatena.com/image/square/95dd437ee47af8a6787c1a615e75b7d301b636ba/height=288;version=1;width=512/https%3A%2F%2Fmiro.medium.com%2Fv2%2Fresize%3Afit%3A640%2F1%2AVD87-YoAC4PnLKoVHhC6iA.png)
dind(docker-in-docker)とdood(docker-outside-of-docker)でコンテナを料理する - Qiita
dind(docker-in-docker)とdood(docker-outside-of-docker)でコンテナを料理するLinuxDockercontainerdindDooD 1. はじめに コンテナの中にコンテナを立てたい、コンテナ内からホストマシンのコンテナを操作したい、そんなことを考えた方も多いのではないでしょうか。 こうした要求にこたえられる手法がdind (docker-in-docker)とdood (docker-outside-of-docker)です。 コンテナの中にコンテナを立てたい >> dind (docker-in-docker) を使います コンテナ内からホストマシンのコンテナを操作したい >> dood (docker-outside-of-docker) を使います 本記事では実際にdindとdoodを用いてコンテナを起動するまでを実施します。 想定
macOSのコンテナ開発環境におけるVirtualization frameworkの採用 - cockscomblog?
Docker Desktop for Mac Docker Desktop for Macでは、仮想マシン上のLinuxでDockerを動かしている。仮想マシンにはhyperkitやQEMUが使われていた。が4.14.0からVirtualization frameworkがデフォルトで使われる。 Set Virtualization framework as the default hypervisor for macOS >= 12.5. Virtualization frameworkはmacOS内蔵の仕組みで、macOS 11で導入されてから、徐々に機能が拡張されている。Virtualization frameworkは高レベルなAPIで、より低レベルなAPIとしてmacOS 10.10から搭載されているHypervisor frameworkがあり、おそらくVirtualizati
envsubstを使ってDockerで設定ファイルに環境変数を埋め込めこむ汎用的なパターン - Qiita
はじめに Docker使ってるとできるだけイメージは共通化して、設定ファイルはマウントで差し込み、環境ごとの設定差分は環境変数で埋め込む方向になってきます。 しかしながら、設定ファイルに環境変数を直接埋め込めるかは対象のソフトウェアの実装次第で、例えばfluentdは設定ファイルで環境変数を直接埋め込めるけど、nginxは環境変数を直接埋め込めなかったりします。 で、よくやるのは entrypoint.sh みたいなのを作って起動時にsedするという原始的な方法もあるけど、もうちょっとスマートな方法として、 envsubst という軽量なテンプレートエンジンを使うことで、設定ファイルに汎用的に環境変数を埋め込むことができて便利なので紹介したい。 インストール nginx:alpineには既にenvsubstコマンド入ってるので、そのまま使える。 他のイメージで入ってなければ以下の方法でイン
DockerコンテナイメージをWebAssemblyに変換、Webブラウザ上での実行も可能にする「container2wasm」バージョン0.3が登場
DockerコンテナイメージをWebAssemblyに変換、Webブラウザ上での実行も可能にする「container2wasm」バージョン0.3が登場 DockerコンテナイメージをWebAssemblyに変換し、WebAssemblyランタイム上で実行可能にするツール「container2wasm」のバージョン0.3がリリースされました。 開発者はNTTの徳永航平氏。container2wasmは実験的なツールとしてオープンソースで公開されています。 バージョン0.3では、RISC-Vアーキテクチャに加えてx86_64アーキテクチャのDockerコンテナイメージにも対応したことが大きな変更点です。 実際にDockerコンテナイメージをWebAssemblyに変換したものをWebブラウザ上で実行できるデモページも用意されました。 下記はインテルの64ビットプロセッサを搭載したWindows
Docker DesktopからRancher Desktopに乗り換えてみた - knqyf263's blog
この記事はPRを含みます。 概要 背景 移行 Docker Desktopのアンインストール Rancher Desktopのインストール Kubernetesクラスタの無効化 宣伝 まとめ 概要 Rancher Desktopがcontainerdに加えdockerにも対応したのでDocker Desktopから乗り換えてみました。簡単な用途だとdockerコマンドがそのまま使えるので特に困っていません。 背景 2021年9月にDocker Desktopが有料化されました。移行期間として2022年1月31まで引き続き無料で利用できましたが、それもついに終了しました。 www.docker.com ただし、個人利用もしくはスモールビジネス（従業員数250人未満かつ年間売上高1000万ドル未満）、教育機関、非商用のオープンソースプロジェクトでは引き続き無料で利用できるという条件でした。no
「Rancher Desktop 1.0」正式リリース。Win/M1 Mac/Intel MacにコンテナとKuberntes環境を簡単に構築、設定できるElectronベースのアプリ
「Rancher Desktop 1.0」正式リリース。Win/M1 Mac/Intel MacにコンテナとKuberntes環境を簡単に構築、設定できるElectronベースのアプリ SUSEは、インストールして起動するだけでWindows やMac上に簡単にDockerコンテナとKubernetes環境が導入される「Rancher Desktop 1.0」を正式リリースしたと発表しました。 SUSEがRancher Labsを買収して最初の大きなプロダクトとなります。Windows、M1 Mac、Intel Mac、Linuxに対応します。 At SUSE, we want to make the experience of working with #Kubernetes on your desktop easier and simpler, which is why we are
Docker一強の終焉にあたり、押さえるべきContainer事情
章立て はじめに Docker・Container型仮想化とは Docker一強時代終焉の兆し Container技術関連史 様々なContainer Runtime おわりに 1. はじめに Containerを使うならDocker、という常識が崩れつつある。軽量な仮想環境であるContainerは、開発からリリース後もすでに欠かせないツールであるため、エンジニアは避けて通れない。Container実行ツール（Container Runtime）として挙げられるのがほぼDocker一択であり、それで十分と思われていたのだが、Dockerの脆弱性や消費リソースなどの問題、Kubernetes（K8s）の登場による影響、containerdやcri-o等の他のContainer Runtimeの登場により状況が劇的に変化している。本記事では、これからContainerを利用したい人や再度情報
Linuxコンテナの「次」としてのWebAssembly、の解説
はじめに WASMをブラウザの外で動かすトレンドに関して「Linuxコンテナの「次」としてのWebAssemblyの解説」というタイトルで動画を投稿したのですが、動画では話しきれなかった内容をこちらの記事で補完したいと思います。 2022年もWebAssembly(WASM)の話題が多く発表されましたが、そのひとつにDocker for DesktopのWASM対応があります。FastlyやCloudflareもエッジ環境でWASMを動かすソリューションを持っていますし、MSのAKS(Azure Kubernetes Service)でもWASMにpreview対応しています。WASM Buildersでも2023年のWASMの予想としてWASMのアプリケーションランタイム利用に関して言及されました。 WASMといえば元々ブラウザ上で高速にC++のコードなどを実行するところから始まっている
第29回 Docker Networkingの基礎知識 標準的なネットワークを理解する
Docker環境における標準的なネットワークを知る Dockerをインストールしたばかりの標準的なネットワークは、どのような構成になっているのでしょうか。以下の図では、物理NICを4ポート持つ物理サーバにLinuxをインストールし、その上にDockerエンジンをインストールした場合の標準的なネットワーク構成例を示しています。なお、説明を簡単にするために、一部のコンポーネントは省略しています。 図に示すとおり、物理サーバに搭載されているNICに対して「eth0」というインタフェースが割り当てられています。このeth0に対して、「docker0」と呼ばれるブリッジが接続されています。docker0ブリッジは、Dockerエンジンによってデフォルトのブリッジネットワークを構成します。ホストOSが提供するiptablesにより、外部ネットワークとdocker0のネットワークアドレス変換（NAT：N
Docker network 概論 - Qiita
$ sudo docker network ls NETWORK ID NAME DRIVER 10aa51e2d993 bridge bridge 202b87d7b8a4 none null 92316fc5522f host host これらのNetwork はDocker の実装となっています。 コンテナを起動するときに--net フラグで、コンテナがどのNetwork を使用するかを指定することができます。 none ネットワークについて none ネットワークはnull なネットワークドライバの実装です。 ネットワーク接続を必要としないコンテナを作成する場合に使用されます。 none ネットワークを使用したbusy box コンテナを起動し、コンテナにログインしてネットワークを見てみましょう。 $ docker run --name none_net_busybox --net
Virtiofs正式採用でMacのファイルアクセスが高速化、Docker Desktop 4.15リリース。WebAssemblyアプリをcontainerd配下で管理可能に
Virtiofs正式採用でMacのファイルアクセスが高速化、Docker Desktop 4.15リリース。WebAssemblyアプリをcontainerd配下で管理可能に WindowsやMacなどのローカル環境に簡単にDockerコンテナを用いた開発環境を導入できるDocker Desktopの最新版「Docker Desktop 4.15」正式版がリリースされました。 #VirtioFS GA, adminless install during first run (!!), quick search, and more! Learn more about everything new in #DockerDestkop 4.15: https://t.co/IhTA0DcCqO pic.twitter.com/VWClpJ7vJU — Docker (@Docker) Decem
Docker HubのOpenJDKイメージの利用を更新するためのアドバイス - 赤帽エンジニアブログ
Red Hat で Java Platform Advocate として OpenJDK を担当している伊藤ちひろ（@chiroito）です。 この記事は、Red Hat Developerのブログ記事、My advice for updating use of the Docker Hub OpenJDK image | Red Hat Developer の翻訳記事です。 コンテナ内のJava実行環境は、今後数カ月でアップデートを受けられなくなる可能性があります。そろそろ手を打つべきでしょう。この記事では、この問題を引き起こした原因である決定事項を説明し、解決策を提案します。 OpenJDK と Java SE のアップデート OpenJDKは、Java Platform, Standard Edition (Java SE)のオープンソース実装で、複数の企業やコントリビューターが共同
JavaがDockerコンテナ内でどのようにCPU数、メモリサイズを取得しているのかを調べてみる - CLOVER🍀
これは、なにをしたくて書いたもの？ 現在のJavaは、コンテナ環境下ではホスト側ではなくコンテナにリソース制限がかけられていればそちらの値を見るように なっています。 これはどこの値を見ているのかな？というのを確認してみたくなりまして。 なお、自分にはcgroupに関する知識はほぼありません。あくまで、Javaがどこの情報を見ているか？という観点で 追っています。 JDK-8146115 Javaも以前はホスト側のCPU数やメモリサイズを参照していたのですが、JDK-8146115（およびそのバックポート）が 入ってからはコンテナに割り当てられたCPU数やメモリサイズを見るようになりました。 https://bugs.openjdk.java.net/browse/JDK-8146115 Java 10以降、Java 8については8u191以降で対応しています。 デフォルトでこの機能は有効
Dockerのリソースの制限（CPU/メモリ）とCPUの動きについてまとめ - Qiita
Dockerリソースの制限について 環境情報 Red Hat Enterprise Linux 7.1 Docker 1.6.2.el7 リソース管理を実現する機能 cgroups Linuxの標準機能cgroupsを使用して、リソース管理を実現しています。詳しくは以下のリンクなどをご覧ください。 Control Groups cgroups --cpuset-cpus CPUの割り当てを決定するオプションです --cpuset-cpus 0 #CPUコア0を使用 --cpuset-cpus 0-2 #CPUコア0～2を使用 --cpuset-cpus 1,2 #CPUコア1と2を使用 /sys/fs/cgroup/cpuset/system.slice/docker-xxx.scope/cpuset.cpus に割り当てられたCPU情報が管理されています。
Docker attach と exec - Qiita
■attach と exec の違い どちらも稼働中コンテナへ接続するコマンドである。 attach exec
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
コンテナのネットワークインターフェース その実装手法とその応用について
価格がなんと3.5倍に！「Docker」のTeamプランが値上げ＆ユーザー数制限追加／101ユーザー以上で使っていた組織はBusinessプランが必須に ～Businessプランも値上げ【やじうまの杜】
