Dockerコンテナ内でセキュリティ更新を処理する方法は？

サーバーにアプリケーションを展開する場合、通常、アプリケーションがそれ自体にバンドルするものと、提供するプラットフォーム（オペレーティングシステムおよびインストール済みパッケージ）に期待するものとが分離されます。これの1つのポイントは、プラットフォームをアプリケーションとは無関係に更新できることです。これは、たとえば、アプリケーション全体を再構築せずにプラットフォームが提供するパッケージにセキュリティ更新プログラムを緊急に適用する必要がある場合に役立ちます。

従来、セキュリティアップデートは、パッケージマネージャコマンドを実行して、オペレーティングシステムにパッケージの更新バージョンをインストールするだけで適用されてきました（たとえば、RHELの「yum update」）。しかし、コンテナイメージがアプリケーションとプラットフォームの両方を本質的にバンドルするDockerなどのコンテナテクノロジーの出現により、コンテナを備えたシステムを最新の状態に保つ標準的な方法は何ですか？ホストとコンテナの両方に独自の独立したパッケージのセットがあり、ホスト上で更新および更新が必要な場合、コンテナ内のパッケージは更新されません。Dockerコンテナが特に注目されているRHEL 7のリリースでは、コンテナのセキュリティ更新を処理するRedhatの推奨される方法を聞くのは興味深いでしょう。

いくつかのオプションについての考え：

• ホスト上のパッケージマネージャーにパッケージを更新させても、コンテナー内のパッケージは更新されません。
• 更新を適用するためにすべてのコンテナイメージを再生成する必要があると、アプリケーションとプラットフォームの分離が崩れるようです（プラットフォームを更新するには、Dockerイメージを生成するアプリケーションビルドプロセスにアクセスする必要があります）。
• 実行中の各コンテナ内で手動コマンドを実行するのは面倒で、アプリケーションリリースアーティファクトからコンテナが次に更新されるときに変更が上書きされる危険があります。

したがって、これらのアプローチはどれも満足のいくものではありません。

Dockerイメージには、アプリケーションと「プラットフォーム」がバンドルされています。これは正しいです。ただし、通常、イメージはベースイメージと実際のアプリケーションで構成されます。

したがって、セキュリティ更新プログラムを処理する標準的な方法は、ベースイメージを更新してから、アプリケーションイメージを再構築することです。

コンテナは軽量で互換性があると想定されています。コンテナにセキュリティ上の問題がある場合、パッチを当てたバージョンのコンテナを再構築し、新しいコンテナをデプロイします。（多くのコンテナは、apt-getなどの標準パッケージ管理ツールを使用して依存関係をインストールする標準ベースイメージを使用します。再構築は、リポジトリから更新をプルします）

コンテナ内にパッチを適用することはできますが、それはうまくスケールしません。

これは、zypper-docker（1）を使用してSUSE Enterprise Linuxで自動的に処理されます

SUSE / zypper-docker

Dockerクイックスタート

まず、過去に実行していた更新の多くは、コンテナ自体には含まれません。コンテナは、過去に見慣れたファイルシステム全体のかなり軽量で小さなサブセットである必要があります。更新する必要があるパッケージは、DockerFileの一部であるパッケージになります。DockerFileがあるため、更新が必要なパッケージとコンテナーIDを追跡できる必要があります。すぐにリリースされるCloudsteinのUIは、これらのDockerFileの成分を追跡して、コンテナーに最適な更新スキームを構築できるようにします。お役に立てれば

一般に、あなたが提供した3つの選択肢よりもさらに悪いです。ほとんどのdockerイメージはパッケージマネージャーを使用してビルドされていないため、単にdockerイメージにシェルして更新を発行することはできません。Dockerイメージを再構築するか、再取得する必要があります。

再構築する必要がある、またはセキュリティパッチのために再構築するために他の人に期待しているという事実は、ほとんどの場合、不合理に思えます。

私はドッカーコンテナにソナーとレーダーを配備することを検討していましたが、コンテナが取得する定期的なセキュリティアップデートを取得できないことは契約違反です。コンテナのセキュリティ更新プログラムを管理することは、各ドッカーイメージに個別にセキュリティ更新プログラムを手動で適用する必要がなく、面倒です。