Выбор ответа Middle Деплой и эксплуатация обновлено
Пользователь в контейнере
Вопрос
Почему процесс приложения в контейнере запускают не от root?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: При взломе у атакующего меньше прав и меньше шансов выбраться наружу. Контейнер не идеальная граница изоляции: уязвимость ядра или ошибка конфигурации (смонтированный сокет Docker, привилегированный режим) с root внутри даёт больше возможностей.
Варианты ответа
- От root Python работает медленнее из-за дополнительных проверок прав ядром
- Docker запрещает root в контейнерах по умолчанию с версии 20
- Иначе логи пишутся в
/rootи не попадают в stdout контейнера - При взломе у атакующего меньше прав и меньше шансов выбраться наружуправильный ответ
Разбор
Контейнер не идеальная граница изоляции: уязвимость ядра или ошибка конфигурации (смонтированный сокет Docker, привилегированный режим) с root внутри даёт больше возможностей. Отдельный пользователь без прав на запись в код ограничивает ущерб. На скорость и логи это не влияет, и Docker root не запрещает, но это стандартная рекомендация.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.