青藤云安全带你了解容器技术架构
作者: 日期:2019年10月14日 阅:1,638

近年来,随着计算机技术的不断升级,容器技术被广泛接受和使用。与此同时,容器以及容器运行环境的安全成为了亟待研究和解决的问题。青藤云安全认为,只有对容器有充分的认识,才能针对存在的问题和现象,进行针对性解决。

本文简述,容器安全的技术架构,加深对容器理解。

下图展示了容器技术架构的五个层:

1. 开发人员系统(生成镜像并将其发送给测试和验证)

2. 测试和验证系统(验证并核实镜像的内容、镜像签名,并将镜像发送到镜像仓库)

3. 镜像仓库(存储镜像并将镜像按需分发给编排工具)

4. 编排工具(将镜像转换为容器,并将容器部署到主机)

5. 主机(根据编排工具的指示运行和终止镜像)

图:容器技术架构的层、组件和生命周期

尽管在整个过程中涉及许多管理者系统角色,但该图仅描述了内部镜像仓库和编排工具的管理者系统。

灰色的系统(开发人员系统、测试和验证系统以及管理员系统)不在容器技术架构范围之内,但确实与容器技术架构有着重要的交互。在大多数使用容器的组织机构中,开发和测试环境也利用容器,这种一致性是使用容器的主要优点之一。

理解容器技术架构的另一种方法是考虑容器生命周期的阶段,如图底部所示。下文将会对这三个阶段进行更简单的介绍。

由于组织机构通常一次性构建和部署很多不同的应用,所以,在一个组织机构内,这些生命周期的阶段通常同时进行,而不应被视为成熟度的渐进式阶段。相反,应将其视为连续运行引擎中的循环。按照这个比喻,每个应用都是引擎中的一个汽缸,不同的应用可能同时处于这个生命周期的不同阶段。

1. 镜像的创建、测试和验证

在容器生命周期的第一阶段,创建应用的组件,并将其放置在一个镜像中(或者可能放置在多个镜像中)。镜像创建过程由将应用打包、转交给测试的开发人员管理。镜像创建通常使用能够自动化管理工具(例如Jenkins[8]和TeamCity[9])来协助所谓的“持续集成”过程。

大多数容器技术采用声明式方法来介绍应用的组件和要求。例如,用于Web服务器的镜像不但包括Web服务器的可执行文件,而且还包括计算机可解析的数据,用来描述Web服务器的运行方法,如侦听端口或服务器使用的配置参数。

镜像创建后,组织机构通常进行测试和验证工作。例如,自动化测试工具和人员会使用所创建的镜像来验证最终应用的功能,安全团队会对这些镜像进行认证。

为应用创建、测试和认证完全相同的复制件,保持其一致性,这是容器运行和安全性的主要效益之一。

2. 镜像存储和检索

镜像通常存储在中央位置,以便各主机对其进行控制、共享、查找和重用。镜像仓库是一种服务,方便开发人员在创建镜像后,将镜像进行存储、签名和分类,实现镜像标识和版本控制,有助于发现和重用,以及查找和下载其它人创建的镜像。镜像仓库可以自托管,也可以作为一种服务来使用。

镜像仓库提供API,确保能够实现常见镜像相关任务的自动化。

一旦存储到镜像仓库中,就可以轻松地获取镜像,然后由DevOps人员在其运行容器的任何环境中运行镜像。

3. 容器部署与管理

编排工具让DevOps人员或自动化工具,能够从镜像仓库中获取镜像,将这些镜像部署到容器中,并管理正在运行的容器。该部署过程会形成应用的一个可用版本,能够运行并准备响应请求。将镜像部署到容器中时,镜像本身不会更改,而是将镜像的一个副本放到容器中,并将一组应用静止代码转换为运行实例。 编排工具提供的抽象性让DevOps人员可以便捷地设定某个镜像运行所需的容器数量、以及每个容器需要分配的资源,如内存、处理能力和磁盘。

编排工具还负责监控跨主机的容器资源消耗、作业执行和机器健康状况。根据其配置,如果最初运行容器的主机出现故障,编排工具可能会在新主机上自动重启容器。

当容器中的应用需要更新时,不会去更改现有的容器,而是将其销毁,并从更新的镜像中创建新的容器。这是使用容器关键一项不同之处:初始部署的基础软件不应随时间而改变,而是通过一次性替换整个镜像来完成更新。

这意味着,在创建新的镜像版本时,开发人员通常会关注所有的漏洞管理,包括补丁和配置设置。对于容器,通常让开发人员而不是运营团队负责应用和镜像的安全性。

容器管理包括安全管理和监控。但为非容器环境设计的安全控制通常不适用于容器。

理解容器技术架构的另一种方法是考虑容器生命周期的阶段。本文从镜像的创建、测试和验证,镜像存储和检索,容器部署与管理三个阶段对容器技术结构进行了简单的介绍。青藤云安全也希望通过本文,让大家对容器技术有更深刻的认识。

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章

没有相关文章!