Container周報第102期：Docker出現中級危險新漏洞，也大秀19.03預覽版可免Root權限執行

5/23~5/29一定要看的Container新聞

#Docker #免Root權限
Docker釋出19.03預覽版，最大特色是免Root權限也能執行containerD了

Docker最近發布了19.03版的預覽版本，可以讓開發者搶先試用。新版有4大特色，包括新增了快速情境切換機制（Fast Context Switching），可快速切換不同的叢集配置檔，來部署新的Docker環境。第二特色是免Root執行功能，Docker可以在非root使用者帳號下執行，如此可以執行一些不需要root權限的應用，降低系統安全的風險。第三特色則是sysctl工具開始支援Swarm服務，另外也增加對Windows周邊裝置的支援。

#容器安全 #Docker
Docker揭露最新容器漏洞，攻擊者能透過容器將惡意程式植入Linux主機

容器安全是現在最熱門的資安議題之一，Docker公司最近又揭露了一個容器上的TOCTOU（time of check to time of use）弱點的新漏洞CVE-2018-15664，攻擊者可將任意程式碼植入系統。攻擊者能透過Docker copy指令，來修改容器中的Symbolic links，用內藏惡意程式的偽裝檔案，覆蓋掉原本在Linux主機上的檔案，甚至可以寫入需要root權限的目錄下，進而入侵系統。Docker容器變成了攻擊者的入侵跳板。這個漏洞影響所有的Docker版本，在CVSS 3.0版的風險評分是5.8，屬於中度風險的漏洞。

#K8s託管 #K8s應用市集
雲端服務DigitalOcean正式推出K8s託管服務，未來還要推1鍵部署的K8s市集

公有雲業者DigitalOcean最近在CNCF大會第一天宣布，去年發表的Kuernetes託管服務終於正式上線了。目前提供三種Kubernetes叢集，標準版、通用目的版和CPU優化版，最後一種則是結合了CPU、記憶體和SSD硬碟來提供優化配置。另外，DigitalOcean也宣布，近期還將推出K8s應用市集，利用Helm封裝格式，來提供1鍵部署的能力。

#持續整合派送 #CircleCI
CircleCI的K8s持續派送平臺終於可以支援Helm，也擴大支援四大容器平臺EKS、GKE、AKS和紅帽OpenShift

DevOps工具商CircleCI最近大舉增加可支援的平臺和雲端供應商，其中，最重要的是終於可以支援Kubernetes的Helm，可以自動部署Kubernetes叢集。另外這次改版也可以串接AWS的EKS、Google的GKE、微軟的KS和紅帽的OpenShiff，等於涵蓋了主流四大容器平臺或服務。另外也可以和VMware的Code Stream整合來派送程式碼，也可用來串接PKS這款可部署於企業內部的K8s平臺。其他新增的支援還包括了跨多種環境部署K8s叢集的Kublr工具，以及Nirmata的Kubernetes API。

#KaaS #BYOD
Mirantis雲端KaaS服務也有BYOD功能，企業自帶任何K8s版本也可技術支援

近年從OpenStack轉攻容器基礎架構軟體的Mirantis，最近在CNCF上發表了自家KaaS軟體企業版的新功能BYOD（Bring Your Own Distro），企業可以改用自己想要的Kuernetes發布版本，而特別之處是Mirantis將會對這些企業自帶的K8s提供技術支援。企業原本就可以自行安裝開源平臺軟體，但廠商多半不支援這些自行安裝的版本。目前這個BYOD技術支援包括了Container排程工具、Container Runtime、Key-Value資料庫、Proxy和負載平衡工具、Container SDN等類型的開源軟體。

#DevOps #Terraform
基礎架構即程式碼工具Terraform大改語法，釋出最新0.12版本

HashiCorp發布了最新的基礎架構即程式碼工具Terraform 0.12，這個版本對語言進行了大幅度的修改，官方希望增加配置的可讀性，並提高可重用模組的可用性，增加的功能包含新的表示式語法、通用類型系統（Generalized Type System）以及迭代建構（Iteration Constructs）等，Terraform 0.12新加入的通用類型系統，能讓模組之間傳遞物件更加方便。新版也允許表達式在任何情況下直接使用，不需要再使用字串內插補點語法。官方提醒，這個版本進行諸多修改，與先前版本不相容。另外，PaaS、SaaS以及AWS、GCP、Azure等IaaS供應商，尚未提供相容於Terraform 0.12的服務。

#K8s #Operators
GCP市集發布多個Operators簡化K8s應用程式管理工作

Google在GCP市集發布了一系列新的Kubernetes Operators，提供特定應用程式的最佳實踐封裝以及端到端的解決方案，新的Operators包括Java Operator，可以用來配置Kubernetes叢集上的JVM應用程式，而Airflow Operator，則可以簡化Apache Airflow的安裝和管理工作。Kubernetes Operators是一個可以用來封裝、部署和管理Kubernetes應用程式的方法，就像是管理這些應用程式Runtime一樣。Google提到，Operators得以使用應用程式CRD（Custom Resources Definition）以及客製化控制器，應用Kubernetes的可擴展性，進一步擴展了Kubernetes API的功能，讓用戶能以Operators自動化更多的工作，支援各種工作負載以及生命周期管理等。Google也提供了Spark Operator以及Airflow Operator，無論是要大規模處理串流資料，還是要對複雜的工作流程，進行程式化排程管理，這兩個Operator可以簡化應用程式安裝與管理。

#CNCF #Telemetry
遙測資料解決方案OpenTelemetry現成為CNCF沙盒專案

遙測資料解決方案OpenCensus和OpenTracing兩專案決定合併成為OpenTelemetry，並納入CNCF（Cloud Native Computing Foundation）中成為沙盒專案之一。OpenTelemetry成立的目的，是要為原生雲端應用程式，提供強健可移植的遙測功能，作為OpenCensus和OpenTracing兩專案的替代方案。CNCF提到，最慢在2019年底前，OpenCensus和OpenTracing兩專案會進入唯讀模式不再更新，使得OpenTelemetry成為唯一選擇，提供簡化與標準化的遙測開發解決方案。

責任編輯／王宏仁

更多Container動態

• CNCF宣布K8s管理者認證CKS現在可以認證三年了
• Visual Studio 2019 16.1正式版釋出，啟動與建置速度大躍進

＠資料來源：iThome整理，2019年5月