Tu peux aussi remplir la sandbox avec les paquets de la distribution. Typiquement, j'ai des collègues qui font ça avec des containers ( docker en l'occurence ), avec la plateforme sous une distribution stable ( RHEL 6 ), et haproxy sur la version suivante de la distribution ( RHEL 7 ), le tout sur le même noeud.
Ensuite, comme toujours, il faut faire gaffe d'ou vient le contenu de ta sandbox. Exemple, on considére que 30% des containers sur le registry contiennent des failles classés "high" ( http://www.banyanops.com/blog/analyzing-docker-hub/ ). Même si les devs de Docker tentent d'expliquer que c'est pas si énorme ( https://jpetazzo.github.io/2015/05/27/docker-images-vulnerabilities/ ) et qu'il s'agit de vielles images, le fait est que le chiffre reste assez haut pour les images qui datent de 2015 et qu'on parle que des soucis qualifiés de "high".
Et surtout, l'étude ne parle que des images officiels. Pas des images non officiels, ou je pense que ça doit être un peu la fête du slip une fois qu'une image n'est plus maintenu.
Donc oui, la techno est cool en soit. Mais tout comme les ppas, les rpms, ou n'importe quoi du même genre comme les saucisses, il faut regarder d’où vient le contenu, comment il est fait et ce qu'on trouve dedans.
[^] # Re: Perte des avantage de mutualisation
Posté par Misc (site web personnel) . En réponse au journal XDG apps testable sous Fedora. Évalué à 6.
Tu peux aussi remplir la sandbox avec les paquets de la distribution. Typiquement, j'ai des collègues qui font ça avec des containers ( docker en l'occurence ), avec la plateforme sous une distribution stable ( RHEL 6 ), et haproxy sur la version suivante de la distribution ( RHEL 7 ), le tout sur le même noeud.
Ensuite, comme toujours, il faut faire gaffe d'ou vient le contenu de ta sandbox. Exemple, on considére que 30% des containers sur le registry contiennent des failles classés "high" ( http://www.banyanops.com/blog/analyzing-docker-hub/ ). Même si les devs de Docker tentent d'expliquer que c'est pas si énorme ( https://jpetazzo.github.io/2015/05/27/docker-images-vulnerabilities/ ) et qu'il s'agit de vielles images, le fait est que le chiffre reste assez haut pour les images qui datent de 2015 et qu'on parle que des soucis qualifiés de "high".
Et surtout, l'étude ne parle que des images officiels. Pas des images non officiels, ou je pense que ça doit être un peu la fête du slip une fois qu'une image n'est plus maintenu.
Donc oui, la techno est cool en soit. Mais tout comme les ppas, les rpms, ou n'importe quoi du même genre comme les saucisses, il faut regarder d’où vient le contenu, comment il est fait et ce qu'on trouve dedans.