Sicurezza e best practice per i lavori in container

Runtime senza root

Deadline Cloud funziona Docker in modalità rootless. Le azioni del contenitore vengono eseguite come job-user identità non privilegiata e non garantiscono l'accesso root al lavoratore. La Docker configurazione gestita abilita inoltre l'no-new-privilegesimpostazione e utilizza CDI per l'accesso alla GPU.

Non aggiungere opzioni di contenitore privilegiate, senza password o accesso a un socket di sudo proprietà di root. Docker Non montare il socket all'interno del contenitore del carico di Docker lavoro.

Comanda la costruzione e la fuga

Preferisci l'inoltro tra argomenti e vettori. L'ambiente wrap predefinito passa ogni valore come WrappedAction.Command argomento separato a. WrappedAction.Args docker container exec Nessuna shell analizza questi valori una seconda volta.

Non interpolate valori grezzi racchiusi in un comando come. bash -c "{{WrappedAction.Command}} {{WrappedAction.Args}}" I metacaratteri della shell in un comando o in un argomento possono modificare il modo in cui la shell analizza quel comando.

Quando devi incorporare un valore nel testo analizzato da un'altra lingua, usa la funzione di rappresentazione per quella lingua:

Parser	Funzione	Utilizzo
shell POSIX	repr_sh	Argomenti e percorsi della shell.
Python	repr_py	Letterali Python incorporati nel sorgente Python.
JSON	repr_json	Valori incorporati in un documento JSON.
PowerShell	repr_pwsh	PowerShellletterali.
script di comandi di Windows	repr_cmd	Valori analizzati da. cmd.exe

Una funzione di rappresentazione protegge solo il linguaggio a cui si rivolge. Ad esempio, repr_py produce un valore letterale in Python, non un argomento di shell. Passa i parametri del processo come argomenti di azione quando l'applicazione accetta già un vettore di argomenti.

Riferimento WrappedAction.* solo in un hook di wrapping command oargs. I file incorporati sono condivisi da tutte le azioni nell'ambiente, incluso onEnter eonExit, laddove i valori wrapped-action non rientrano nell'ambito. Mantieni statico lo script wrap incorporato e passagli l'azione wrapped come argomenti.

Immagini, autorizzazioni e dati

• Utilizzate una versione a immagine fissa o un digest in modo che ogni sessione riceva il contenuto dell'immagine desiderato.

• Autorizza build identities a inviare immagini. Offri ai ruoli di coda e flotta l'accesso in sola lettura ad Amazon ECR.

• Non archiviare AWS credenziali, segreti di licenza o chiavi private in un'immagine.

• Inoltra solo le variabili di ambiente richieste dal carico di lavoro. L'ambiente di coda predefinito inoltra un elenco consentito di variabili di licenza basate sull'utilizzo e non inoltra le credenziali dell'host. AWS

• Monta solo le directory richieste dal carico di lavoro. Utilizza montaggi di sola lettura per i dati di input quando non è necessaria alcuna azione per modificarli.

• Arresta solo il contenitore creato per la sessione corrente. Non tagliate o bloccate sul lavoratore contenitori non correlati.