Sécuriser ses conteneurs

Bonjour à tous,

Nous fournissons des services qui sont hébergés dans des conteneurs Docker. Certains clients veulent que ces services soient hébergés par leurs hébergeurs et ainsi maîtriser l'infogérance.

Nous pouvons livrer des conteneurs (sans le Dockerfile) mais actuellement il est facile de faire un "docker exec -it service1 /bin/sh", de fouiller dedans et de rendre accessible certains éléments applicatifs que nous préférons ne pas dévoiler.

Est-ce possible d'imposer un mot de passe pour rentrer dans un conteneur ? En créant mettant un MDP sur root peut-être ?

Merci et à bientôt :)

A ma connaissance, docker n'est pas conçu pour ça.

Il te faut donc protéger tes applicatifs.

Par ailleurs en cas de dysfonctionnement qui est responsable ? ton conteneur ? leur hébergeur ?

En lien avec le sujet :
https://virtualisation.developpez.co...eneurs-Docker/

Christophe a absolument raison

la sécurité docker est assez difficile à mettre en place sans brider les applications/services
il faut tjrs considérer docker comme limité à tout jamais à de l'usage LAN pour des raisons de sécurité évidentes ... même si c'est parfois tentant et pratique il faut avouer :ptdr:

à lire en complément le stricte minimum vital a faire mème pour un containeur de dev !
https://w3blog.fr/2016/02/23/docker-...nes-pratiques/

Merci pour vos réponses.

Du coup c'est pas une super idée de livrer un service propriétaire en livrant le conteneur qui le dessert ?

Il faut voir Docker comme de la virtualisation d'application ou service par rapport à une VM qui elle virtualise un OS complet.

Le contenu reste donc accessible par l'hôte.

Quelle techno est utilisé dedans ?

Exemple, pour un site PHP, on peut utiliser Zend, les sources ne sont donc plus disponibles.

Bonjour,

Si votre solution est un binaire, une livraison docker ne pose pas de pb,
car la sécurité se fait dans le binaire injecté dans le conteneur.
Dans l'autre cas, Docker est pensé pour être ouvert, le fermer n'est pas la
solution ? c'est tentant mais la meilleur solution est sans docker.

La question précédente est pertinente, quel techno ??

Olivier

Niveau techno c'est du NodeJS / PostgreSQL, que du script, donc facilement accessible et lisible.

Ce que l'on souhaite rendre inaccessible ne sont pas forcément les data mais le processus de construction de la base PostgreSQL. Si elle se faisait lors de la construction du conteneur ça ne poserait pas de soucis puisque l'on ne livrerait pas le Dockerfile. Mais là elle se fait après coup, du style :

Code:

---

1 2 3 4 5 6

docker build -t service . docker run -t -v /mes_data:/data service construit_moi_ca.sh param1 docker run -t -v /mes_data:/data service construit_moi_ca.sh param2 docker run -t -v /mes_data:/data service construit_moi_ca.sh param3 docker run -dit -v /mes_data:/data service

---

Du coup même sans livrer le Dockerfile qui ne fait qu'installer les binaires dépendants, la valeur technique reste accessible et donc reproductible. Ça revient finalement à livrer du code source.

Donc ça va pas, mauvaise idée.