10 книг по devops.
Скачивайте и читайте.

Философия DevOps. Искусство управления IT
Автор: Дженнифер Дэвис

Запускаем Ansible
Автор: Хохштейн Л.

Безопасность контейнеров
Автор: Лиз Райс

Terraform: инфраструктура на уровне кода
Автор: Евгений Брикман

Operations Anti-patterns, DevOps Solutions
Автор: Jeffery D. Smith

Kubernetes для DevOps
Автор: Джон Арундел

Ускоряйся! Наука DevOps
Автор: Николь Ф.

Python для сетевыхинженеров
Автор: Эрик Чоу

Continuous delivery. Практика непрерывных апдейтов
Автор: Вольф Эберхард

Руководство по DevOps
Автор: Джен Ким

#ru #подборка #devops

10 книг по devops.
Скачивайте и читайте.

Философия DevOps. Искусство управления IT
Автор: Дженнифер Дэвис

Запускаем Ansible
Автор: Хохштейн Л.

Безопасность контейнеров
Автор: Лиз Райс

Terraform: инфраструктура на уровне кода
Автор: Евгений Брикман

Operations Anti-patterns, DevOps Solutions
Автор: Jeffery D. Smith

Kubernetes для DevOps
Автор: Джон Арундел

Ускоряйся! Наука DevOps
Автор: Николь Ф.

Python для сетевыхинженеров
Автор: Эрик Чоу

Continuous delivery. Практика непрерывных апдейтов
Автор: Вольф Эберхард

Руководство по DevOps
Автор: Джен Ким

#ru #подборка #devops

🐳 Что если вам нужно запустить чужой (возможно небезопасный) код?

Представьте: вам прислали бинарник, Python-скрипт или npm-пакет, и его надо выполнить.
Вы не знаете, что внутри — а вдруг там rm -rf /, попытка выйти из контейнера, майнер или установка root-доступа?

🔥 Первый инстинкт: запустить в Docker. Кажется, контейнер спасёт?
⚠️ На самом деле — не всегда.


🛑 Docker ≠ песочница
Контейнеры по умолчанию не изолированы от ядра, сетей и сокетов хоста.
Даже простое docker run -it ubuntu запускает процесс с root-доступом внутри контейнера.

🛡 Что делать, если код небезопасен:

# Запуск без root-доступа
docker run --user 1000:1000 my-image

# Только для чтения
docker run --read-only my-image

# Удалить все cap-привилегии ядра
docker run --cap-drop=ALL my-image

# Использовать seccomp-профиль
docker run --security-opt seccomp=default.json my-image

# Отключить сеть
docker run --network=none my-image

Также стоит:
• Настроить AppArmor / SELinux
• Запретить монтирование Docker сокета
• Ограничить доступ к /proc, /sys

💡 Вывод:
Docker — это удобный инструмент упаковки, но не синоним безопасной изоляции.
Если запускаете сторонний или user-generated код (плагины, CI-скрипты, sandbox-сервисы) — относитесь к нему как к потенциально опасному.

Безопасность — это не "чеклист", а постоянная практика.

#Docker #Security #Sandbox #DevOps #Isolation

@Docker