Исходное сообщение
"Уязвимость в Docker, позволяющая выбраться из контейнера" Отправлено zurapa, 31-Май-19 11:56
Я в своём комментарии, как бы намека (явно говорю), что без systemd, с которым требования в виртуальной машине повышаются до 512МБ (хотя, вроде 256МБ со скрежетом стартует), докер становится не так привлекателен со всей мудрёностью, дырами, оркестрационными костылями и прочими утилитами. Смотрите пример. допустим в минималке Alpine Linux запускается на 32МБ RAM. Сколько вы таких станций сможете запустить, чтобы утилизировать 1ГБ RAM? А теперь, если у вас Debian, на запуск которого вам нужно 512БМ RAM. Сколько вы таких станций сможете запустить, чтобы утилизровать 1ГБ RAM? Доступно объяснил? Я конечно понимаю, что 32МБ RAM на запуск системы и кучи процессов подкапотом и дискового пространства под систему значительно выше чем в контейнере. Но зато, не нужно постоянно адаптироваться под быстроменяющийся дуршлаг, быстродействие которого под большим вопросом под нагрузками, т.к. есть накладные расходы на слои FS, есть утечки памяти, есть нюансы с сетью, есть дырки и нежданчики, которые всю изоляцию делают вовсе не изоляцией (на сколько позволяет мне судить моё поверхностное знание о Docker). И это всё прекрасно, когда вы на Docker у себя в лаборатории, изолированной от общества, делаете. А вот если начинаете покупать контейнеры у Amazon, в облаке на них прод подымаете. Мне вас жалко. Не! Конечно, может вы никому не интересны, и у вас взлома не произойдёт!... И в резюме вы сможете написать, что знаете докер, можете подымать 100500 хостов за пару минут и вертеть все их на своей шишке. Обычно это безотказно работает на работодателей ищущих DevOps.