Linux 安全模塊：守護進程和套接字

容器化已成為無條件的行業(yè)標準，使我們的應(yīng)用程序更易于配置和部署。Docker作為最流行的軟件，盡管有podman等選項，卻成為容器的代名詞。但是如果你想在另一個容器中啟動一個容器呢？是不是一個很好的選擇，如果你根本沒有其他方法怎么辦？

在本文中，我將介紹我們在本地處理會話的方式。運行這樣的會話使開發(fā)比在生產(chǎn)中通過計算API更簡單。我們可以監(jiān)控工作人員創(chuàng)建的進程和文件，而無需通過SSH連接到云。此外，使用“tail-f /dev/null”運行容器允許我們更仔細地查看stdout和stderr，而無需檢查日志，從而進一步改進調(diào)試方式。此外，我們還獲得了一些IDE的殺手級功能，例如PyCharm容器調(diào)試器。但它的公式可以用一句話來描述。

我們將docker安裝在帶有主Web應(yīng)用程序的容器中，并為其提供對域套接字的訪問權(quán)限，該域套接字默認由docker守護程序偵聽。由帶有已安裝套接字的dockercli 運行：

在 docker-compose.yaml中：

讓我們更深入地了解一下這個公式守護進程和套接字的組成部分。

讓我們從守護進程開始。這個名字是怎么來的？

在 Unix SystemAdministration Handbook 中，EviNemeth 對守護進程進行了如下說明：

許多人將“daemon”這個詞等同于“demon”這個詞，暗示著UNIX和黑社會之間存在某種邪惡的聯(lián)系。這是一個嚴重的誤解?！皭耗А睂嶋H上是“惡魔”的一種更古老的形式。守護進程對善惡沒有特別的偏見，而是用來幫助定義一個人的性格或個性。古希臘人對“個人守護神”的概念就像現(xiàn)代的“守護天使”概念——eudaemonia是一種被善良的精神幫助或保護的狀態(tài)。通常，UNIX系統(tǒng)似乎同時充滿了守護進程和惡魔。

守護進程通常是在后臺觀察操作以等待狀態(tài)、服務(wù)于特定子系統(tǒng)并確定整個系統(tǒng)的操作規(guī)則的實用程序。例如，一個守護進程被配置為監(jiān)控打印服務(wù)的狀態(tài)；網(wǎng)絡(luò)守護進程管理網(wǎng)絡(luò)連接并監(jiān)控它們的狀態(tài)，或者docker 守護進程在您的操作系統(tǒng)上操作容器和圖像。順便說一句，展望未來，dockerd設(shè)計是在容器內(nèi)運行容器的問題。您可以使用終端中的pstree、top或 htop查看終端當前正在運行的守護進程。通常，他們的名字以“d”字母結(jié)尾。

?

我們用來與 dockerd通信的域套接字呢？Unix域套接字，又名 UDS或 IPC套接字（進程間通信套接字），是用于在同一主機操作系統(tǒng)中執(zhí)行的進程之間交換數(shù)據(jù)的數(shù)據(jù)通信端點。它也被它的地址族AF_UNIX 引用。UNIX域中的有效套接字類型是：

SOCK_STREAM（與 TCP相比）——用于面向流的套接字。

SOCK_DGRAM（與 UDP相比）——用于保留消息邊界的面向數(shù)據(jù)報的套接字（與大多數(shù)UNIX 實現(xiàn)一樣，UNIX域數(shù)據(jù)報套接字始終可靠且不會重新排序數(shù)據(jù)報）。

SOCK_SEQPACKET（與 SCTP相比）——用于面向連接的順序數(shù)據(jù)包套接字，保留消息邊界并按發(fā)送順序傳遞消息。

Unix 域套接字工具是POSIX 操作系統(tǒng)的標準組件。

Unix 域套接字的 API類似于 Internet套接字的API，但不是使用底層網(wǎng)絡(luò)協(xié)議，所有通信都完全發(fā)生在操作系統(tǒng)內(nèi)核中。Unix域套接字可以使用文件系統(tǒng)作為它們的地址命名空間。（一些操作系統(tǒng)，如Linux，提供額外的命名空間）。進程將Unix 域套接字作為文件系統(tǒng)的陽極，因此兩個進程可以通過打開同一個套接字進行通信。

現(xiàn)在讓我們回到正題。如果您的云提供商拒絕以這種方式使用容器，您無法選擇掛載對套接字的訪問怎么辦？所以你必須在另一個容器中運行它，但它伴隨著這個選項的創(chuàng)建者Jér?me Petazzoni 描述的新問題，但它不是首選。如果你想找出路，你絕對應(yīng)該看看他的帖子。不這樣做的主要原因有兩個：

1、它與Linux 安全模塊（LSM）的配合不好；

2、它會在文件系統(tǒng)中造成不匹配，從而給在父容器中創(chuàng)建的容器帶來問題。

總之，容器化為我們提供了一個絕佳的機會，可以統(tǒng)一所有Linux 系統(tǒng)中的所有進程，并使用掛載來執(zhí)行更好的調(diào)試，以仔細查看輸出和輸入文件，例如描述測試管道的流或yaml。然而，有時它會給我們帶來一些與主機上不同版本的docker 相關(guān)的問題，這對于在云中運行或容器在彼此內(nèi)部運行的方式來說并不常見。

這篇文章并非如你所見。但我希望你喜歡這個小筆記，并從中學到新的東西！
編輯：黃飛

?