unshare

Docker Hub にはサブスクリプションが存在します。個人でプランに加入するケースは少ないと思いますが、会社で使うために組織で加入しているケースがあるかと思います。 この Docker Core のサブスクリプションに最近、 docker debug が含まれました。この機能は Docker Desktop 4.33 に含まれるようです。 www.publickey1.jp docs.docker.com この機能を最近使ったところすごく便利だったので紹介します。 docker コンテナにデバックに必要なツールをインストールしつつ入れる この機能を簡単に説明するとこれです。 使い方は非常に…

連載の第50回、第51回で、ID mappedマウントについて書きました。 これらの記事を書いた時点（2022年末）では、mount コマンドでは ID mapped マウントができなかったので、記事では、ID mapped マウントの主要開発者であるChristian Brauner氏の mount-idmapped を使って説明しました。 その後、util-linux 2.39-rc1 の libmount で ID mapped マウントがサポートされ、2.40 で mount コマンドで --map-users と --map-group オプションが追加されました。 ID mappe…

コンテナの仕組みを勉強したかったため、Goでコンテナランタイムを自作した。雑実装だし未実装の機能もたくさんあるが、ある程度形になってきたため現状をまとめる。 リポジトリ github.com kombu/dashi - 自作コンテナランタイム kombu/nimono - eBPFを利用したシステムコールロガー kombu/yaminabe - dashiとnimonoを利用したマルウェアサンドボックス プロジェクト名から和の雰囲気を感じるが、これはリポジトリ名をkombu（昆布）にしたかったため、せっかくなら今回は和風で固めようと思ったから。趣があっていいんじゃないでしょうか。 dashiが…

はじめに こんにちは、株式会社エーピーコミュニケーションズ クラウド事業部の藤江です。 Linuxコンテナがどのように環境を分離しているのか疑問に思い調べたところ名前空間という機能で実現していることを知りました。 この名前空間に少し興味を持ったので調べた内容について記します。 調査内容 調査に用いた環境 ubuntu24.04 6.8.0-35-generic 検証方法 名前空間にはマウントポイント、ネットワーク等様々な種類があります。 今回はプロセスID名前空間を使って、プロセスの実行環境を分離してみます。 始めに端末からプロセスID名前空間を作成します。 unshareコマンドを実行すると…

Red Hatでソリューションアーキテクトをしている田中司恩(@tnk4on)です。 Red Hatの製品にはミドルウェア製品が多数あるのですが、数も種類も多くて細かい機能までは把握しきれていません。 個人の観点ではこれまでIT業界の仕事はインフラ畑でやってきたのでミドルウェアについて深く触れることもありませんでした。 そこで、Podmanとコンテナの力を借りて、Red Hatのミドルウェアと仲良くなろうというのがこの企画の趣旨です。 今回はOpenJDKについて深堀していきたいと思います。 （追記：続きの記事を書きました。合わせてお読みください） rheb.hatenablog.com -目…

1 podmanコマンドとは? 2 検証環境 3 インストール方法 4 オプション一覧 5 イメージをダウンロード／削除する方法(pull/rmi) 5.1 AlmaLinuxのイメージダウンロード方法(最新版) 5.2 AlmaLinuxのイメージダウンロード方法(版数指定) 5.3 openSUSEのイメージダウンロード方法(最新版) 5.4 openSUSEのイメージダウンロード方法(版数指定) 5.5 Ubuntuのイメージダウンロード方法(最新版) 5.6 Ubuntuのイメージダウンロード方法(版数指定) 5.7 Nginxのイメージダウンロード方法(最新版) 5.8 Nginxの…

Podmanとは、Dockerと互換性のあるコンテナ実行環境です。Red Hatが開発していることもあり、現在のRHELではDockerのかわりに利用されています。Podmanに対する筆者の理解は 基本的にはDockerと同じことができる デーモンレスでセキュアらしい Red Hatの色が強い(ので、他システムでは積極的に使わなくてもいいや) 程度だったのですが、最近Podmanに触れる機会があったため、改めて秀和システムから刊行されている、Podmanイン・アクションを読んでみました。 www.shuwasystem.co.jp 目次 Podmanイン・アクションは、「基礎」「設計」「高度な…

やれるのかわからなかったのでOTAアプデしてみました。SO-52C_NTT DoCoMo JP_65.2.B.2.112 → 65.2.B.2.125 今回のみの作業 初回のmagiskインストール時に fastboot boot boot.img をできなかった(flashするしかなかった)ので、boot.imgのバックアップが作られていない。これを手動作成する。 XperiFirmのsinからboot.imgを抽出する(アプデ前バージョンの) sony_dump out boot_X-FLASH-ALL-D000.sin boot_X-FLASH-ALL-D000.000 を boot.i…

はじめに 前回はコンテナを構成する要素技術の Namespace、cgroup、Capability について学んだが、今回はファイルシステム、ネットワークについて深ぼっていく kazuki217.hatenablog.com ファイルシステムの分離 chroot と pivot_root はプロセスのルートファイルシステムを隔離する目的で使用する ファイルシステムを隔離すると、ホスト OS ファイルシステムへのアクセス制限を設けることができ、よりセキュアな状態となる chroot と pivot_root は操作対象が異なる chroot : プロセスのルートディレクトリが指すパスを変更する…

はじめに 前回はとりあえずコンテナを作成してみてプロセスが隔離されている様子やリソース制限を確認したが、今回はコンテナを構成する要素技術の Namespace、cgroup、Capability を深ぼっていく kazuki217.hatenablog.com Namespace Namespace はプロセスを隔離するために利用され、他の Namespace とは異なるリソースを参照することができる Namespace はすべてのプロセスに関連付けされていて、指定がなければ親プロセスと同じ Namespace を参照するため、プロセス間で共通のリソースを扱うことになる 元の記事では 7 種類…

はじめに 業務で Docker や Kubernetes などのコンテナ技術を日々利用しているが、その要素技術についてきちんと学んだことがなかったため、今更ながら「コンテナ技術入門」をやってみた en-ambi.com 環境 M1, 2020 macOS sonoma バージョン 14.2.1 仮想サーバの用意 colima を利用して仮想サーバを立ち上げる バージョンは 0.6.8 を利用 仮想サーバに割り当てる CPU とメモリはそれぞれ 4CPUs、8GB とする (自身のローカル環境に合わせて適宜調整すること) $ colima start --cpu 4 --memory 8 $ c…