Quiz : Docker, les fondamentaux

b. Un conteneur partage le noyau de l'hôte ; l'image Alpine ne contient que l'espace utilisateur d'Alpine. La réponse d serait juste dans l'idée (le conteneur n'a pas de noyau propre), mais uname interroge le noyau qui exécute le processus, celui de l'hôte. Leçon 1.

b. Les cgroups limitent ce qu'un processus consomme (memory.max) ; les namespaces limitent ce qu'il voit. Leçon 2.

c. Sans userns-remap ni mode rootless, le namespace user est partagé : l'UID 0 du conteneur est l'UID 0 de l'hôte, réduit par les capabilities, seccomp et AppArmor. Leçons 2 et 12.

Le processus a dépassé la limite mémoire de son cgroup et le noyau l'a tué par SIGKILL (137 = 128 + 9). Il faut mesurer la consommation réelle et ajuster la limite, ou corriger une fuite de mémoire. Leçons 2 et 12.

Les images suivent le format standard de l'OCI, et Kubernetes les exécute avec containerd (ou CRI-O), le même composant que Docker utilise en dessous, puis runc. Seul le pont dockershim a disparu. Leçons 1 et 3.

Client docker → dockerd → containerd → shim (containerd-shim-runc-v2) → runc. runc crée le conteneur puis se termine ; le shim reste le parent du processus. Leçon 3.

Le groupe docker donne accès au socket du démon, qui tourne en root : c'est un accès root sans mot de passe et sans trace dans les journaux de sudo. Un compte compromis prend le contrôle du serveur. Leçons 3 et 4.

La rotation des journaux : par exemple "log-driver": "local" avec "log-opts": {"max-size": "10m", "max-file": "5"}. Le pilote par défaut json-file ne fait aucune rotation. Le réglage ne s'applique qu'aux conteneurs créés ensuite. Leçon 4.

c. Tout ce qui suit le nom de l'image est transmis au conteneur et remplace le Cmd. Docker répond exec: "--rm": executable file not found in $PATH, code 127, et le conteneur raté reste à l'état Created. Leçon 5.

Le pseudo-terminal convertit les fins de ligne \n en \r\n, ce qui insère des \r parasites dans le fichier. En CI, -it échoue en outre si l'entrée n'est pas un terminal. Leçon 5.

La forme shell fait de /bin/sh le PID 1. En PID 1, le shell ignore SIGTERM, qu'il ne gère pas, et ne le transmet pas à Python ; Docker attend le délai de grâce puis envoie SIGKILL (code 137). Correction : forme exec, CMD ["python", "app.py"], et une application qui gère SIGTERM. Leçons 6 et 8.

Ce champ, déprécié depuis 2015, a été retiré de l'API. Il faut parcourir les réseaux : {{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}. Mieux : ne pas dépendre de l'adresse IP d'un conteneur et utiliser son nom sur un réseau défini par l'utilisateur. Leçons 6 et 10.

La première est une étiquette, un pointeur que l'éditeur peut déplacer vers une autre image. La seconde est une empreinte, le hachage du contenu : elle désigne pour toujours les mêmes octets. En production, on épingle par empreinte. Leçon 7.

Oui. La couche de la copie contient toujours le fichier ; la suppression n'ajoute qu'un marqueur dans la couche suivante. N'importe qui peut récupérer le fichier en extrayant les couches (docker save). Il faut l'exclure du contexte avec .dockerignore et considérer le secret comme compromis. Leçons 7 et 8.

Pour profiter du cache de construction : une étape est réexécutée dès qu'elle ou une étape précédente change. Le code change à chaque commit, les dépendances rarement ; dans cet ordre, une modification du code ne réinstalle pas les dépendances. Leçon 8.

Pas forcément. L'image déclare un VOLUME : Docker avait créé un volume anonyme, que la suppression du conteneur a laissé orphelin. On le retrouve avec docker volume ls --filter dangling=true et on le remonte dans un nouveau conteneur. Surtout, ne pas lancer docker volume prune avant. Leçon 9.

Si le répertoire source n'existe pas, -v le crée silencieusement en root (ce qui produit ensuite des erreurs de droits), alors que --mount refuse avec une erreur explicite. Leçon 9.

Ils sont sur le réseau bridge par défaut, qui n'a pas de résolution de noms. Les réseaux créés avec docker network create ont un DNS embarqué (127.0.0.11) qui résout les noms des conteneurs. Leçon 10.

Oui. Le port publié est traité par une règle de DNAT puis passe par la chaîne FORWARD, où les règles de Docker sont évaluées avant celles d'UFW. Il faut publier sur 127.0.0.1 (ou ne pas publier du tout une base), et filtrer dans la chaîne DOCKER-USER ou en amont. Leçon 10.

Compose ne recrée un service que si sa configuration ou son image locale change ; or rien n'a reconstruit l'image, qui est donc identique. Il faut docker compose up -d --build. En développement, on monte plutôt le code dans le conteneur avec un rechargement à chaud. Leçon 11.

b. Le drapeau no_new_privs fait ignorer le bit setuid à l'exécution : le processus garde l'UID effectif 1000. --cap-drop ALL réduirait les pouvoirs du root obtenu, mais pas l'obtention de l'UID 0 lui-même ; les deux options se combinent. Leçon 12.