https://opennet.ru/openforum/vsluhforumID3/101472.html Представлен (http://blog.docker.com/2015/02/docker-1-5-ipv6-support-read-only-containers-stats-named-dockerfiles-and-more/) релиз инструментария для управления изолированными Linux-контейнерами Docker 1.5 (http://www.docker.com/), предоставляющего высокоуровневый API для манипуляции контейнерами на уровне изоляции отдельных приложений. В частности, Docker позволяет не заботясь о формировании начинки контейнера запускать произвольные процессы в режиме изоляции и затем переносить и клонировать сформированные для данных процессов контейнеры на другие серверы, беря на себя всю работу по созданию, обслуживанию и сопровождению контейнеров. Код Docker написан на языке Go и распространяется (https://github.com/dotcloud/docker/) под лицензией Apache 2.0. <br><br><br><br>Инструментарий базируется на применении встроенных в ядро Linux штатных механизмов изоляции на основе пространств имён (namespaces) и групп управления (cgroups). Для создания контейнеров предлагается использовать libcontainer (обёртка над namespaces и cgroups) https://opennet.ru/openforum/vsluhforumID3/101472.html#40 Fri, 13 Feb 2015 17:08:08 GMT Интересно, а каковы будут накладные расходы если все приложения, в каком-нибудь дистрибутиве, оформить в виде docker-контейнеров...<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#39 Fri, 13 Feb 2015 17:00:55 GMT &gt; Одминам локлхоста вобще многое не нужно <br><br>Им вообще винды достаточно, причем без обновлений и антивирусов.<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#38 Fri, 13 Feb 2015 17:00:05 GMT Чтобы работал учет потребления какого-либо ресурса, должен быть загружен его cgroups-контроллер.<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#37 Fri, 13 Feb 2015 16:57:30 GMT &gt; И доверенных тоже. Например, при конфликтах зависимостей, или просто чтобы не замусоривать основную систему.<br><br>Это вообще главная идея нынешних гномерастов. Каждому приложению - свой контейнер.<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#36 Fri, 13 Feb 2015 16:56:41 GMT &gt; Docker не только инструмент для создания "облачных" решений. Но и просто удобная <br>&gt; система управления LXC. Т.е его можно использовать для запуска не доверенных <br>&gt; приложений с минимальными геморром и накладными расходами.<br><br> <br>&gt; LXC<br>&gt; не доверенных <br><br>/0<br><br>LXC (и решения на его основе) хороши для управления ресурсами, быстрого развертывания, удобного клонирования, заморозки и т.д. Использовать _это_ для защиты - все равно что прикрываться от пуль сковородкой.<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#35 Fri, 13 Feb 2015 16:54:00 GMT &gt; т.е. полной изоляции можно пока добиться для консольных приложений<br><br>Рутковская в Qubes OS добилась полной изоляции и для графических приложений.<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#34 Fri, 13 Feb 2015 16:52:54 GMT На элитном локалхосте же.<br><br>А там не только элитная убунта может быть, но и супермегаэлитный арч.<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#33 Thu, 12 Feb 2015 22:39:08 GMT Ну вы можете делать что-то типа VNC:<br>http://stackoverflow.com/questions/16296753/can-you-run-gui-apps-in-a-docker-container<br>Тогда доступа до X-сессии нету.<br><br>(Я всё равно не рекомендую доверять докеру в плане секьюрности, но упомянуть подход VNC стоит.)<br> https://opennet.ru/openforum/vsluhforumID3/101472.html#32 Thu, 12 Feb 2015 19:52:18 GMT Одминам локлхоста вобще многое не нужно<br>