Docker
guest@6admin.io:~$ ls ~/tags/docker
Docker tourne dans une microVM depuis 2016
On présente souvent les microVMs comme la nouveauté qui viendrait concurrencer les conteneurs. Un billet signé sur dave.recoil.org rappelle que Docker Desktop fait tourner ses conteneurs dans une VM minimale, bâtie sur MirageOS, depuis 2016. Petit édito sur un faux débat.
Un pin bloquant, quatre CVE : la rustine qui gagne est celle qui disparaît
Comment un audit de sécurité sur une image Docker Foreman a fini en contributions mergées dans le cœur de Foreman, de Dynflow et de Jenkins.
Ansible CI Toolkit v1: l'année où j'ai cessé de faire confiance à ma propre image
La suite durcie: ansible et ansible-lint fusionnés en une image, Kerberos/WinRM pour les cibles Windows, non-root, base pinée par digest, un lock de constraints pip, pins transitifs Galaxy et signature cosign. Construit par un CHANGELOG qui se lit comme un journal de CVE.
Un volume persistant n'est pas une donnée durable
Après une coupure brutale, la base MySQL de PowerDNS repart vide. Les enregistrements d'hôtes ont disparu, personne n'a rien vu et la seule raison pour laquelle l'histoire finit bien, c'est que la source de vérité, elle, avait survécu.
Le driver de log qui empêchait le conteneur de démarrer
Un arrêt électrique sale, un overlay Swarm corrompu, un DNS interne qui ne résout plus et des conteneurs qui refusent de démarrer parce que leur driver de log ne sait pas résoudre un nom. L'anatomie d'une cascade et pourquoi la vraie faute était ailleurs.
Docker contre les jails, la comparaison honnête
Le marronnier des jails FreeBSD opposées aux conteneurs rate sa cible, parce qu'il compare une empreinte mémoire mal mesurée au lieu de parler d'isolation, de portabilité et d'écosystème.
Containers, micro-VMs et Firecracker : pourquoi l'isolation n'est pas ce que vous croyez
Les containers partagent le kernel. Une évasion de container est une évasion kernel. Les micro-VMs Firecracker apportent l'isolation hardware à la vitesse du container. Le chain et le link sont deux choses différentes.
Kubernetes ou pas
Kubernetes est rarement le bon premier choix. Un parcours honnête des étages en dessous: podman et quadlet sur un hôte, docker-compose, Docker Swarm, puis docker ou podman avec Nomad et Consul et le seuil réel où Kubernetes se justifie enfin.
Durcir Docker Swarm
Durcissement de Docker Swarm: secrets, réseau overlay chiffré, rôles de nœuds et surface d'exposition du cluster.
Durcir Docker
Durcissement de Docker: démon, capabilities, montages et pourquoi une évasion de container est une évasion kernel.
Docker Swarm to Kubernetes : pourquoi j'ai abandonné Swarm
Swarm fonctionne bien pour du petit déploiement. Mais pas de rootless, pas de CSI, pas d'autoscaling et un MACVLAN cloué à un seul nœud: les quatre murs qui ont forcé la migration.
Scale-to-zero : Sablier rallume Swarm et Kubernetes à la demande
Sablier réveille un conteneur endormi quand quelqu'un frappe à la porte du reverse proxy, puis le rend à zéro. Du scale-to-zero sur Docker, Swarm et Kubernetes, avec la vraie config Traefik, les deux stratégies et le prix réel de l'accès au socket Docker.
Le :ro sur le socket Docker ne protège rien
Monter la socket Docker en lecture seule est un rituel rassurant et parfaitement inutile. Le flag agit au niveau VFS, la socket parle en I/O réseau, les deux ne se croisent jamais.
Une image Ansible pour GitLab CI, construite propre depuis un sous-sol parisien
Pourquoi j'ai arrêté les images officielles d'Ansible en CI et construit la mienne sur Alpine: multi-stage venv, ansible-core piné, collections installées au build. Épisode un: la sortie publique de 2022 d'une image née bien plus tôt, avec sa liste honnête des péchés de jeunesse.
PwnMachine : la station de bug bounty auto-hébergée
PwnMachine, la station de pentest Docker auto-hébergée pour bug bounty, avec Traefik, PowerDNS et Let's Encrypt.
Docker rootless : le démon sans privilèges
Docker en mode rootless, le démon qui tourne en utilisateur normal et pourquoi c'est vital sur un serveur multi-tenant.
Twelve-Factor App : la méthode Heroku qui a survécu aux conteneurs
Les douze facteurs d'Adam Wiggins, écrits pour Heroku en 2011, restent la meilleure checklist pour livrer une application en service: config dans l'environnement, processus sans état, parité dev/prod, logs comme flux d'événements, puis leur traduction en conteneurs et en Kubernetes.