Während versucht wird, mittels Reproducible Builds die Erstellung von Paketen nachvollziehbar zu machen, werden andererseits Lösungen wie Docker und LXC auf den Markt geworfen, bei denen die Images nicht vor Manipulationen geschützt sind. Zwar gibt es die Möglichkeit, Images zu signieren. Doch wird dies AFAIK kaum genutzt.
Die einzig für mich akzeptable Lösung war OpenVZ 6. Hier habe ich meine "OS Templates" noch aus den Stage3 Tarballs des Gentoo Projektes erstellt. Diese sind glücklicherweise signiert. Mit OpenVZ 7 ist man leider davon abgekehrt. Hier wird ähnlich Docker auf ein Repo zurückgegriffen.
Ich nutze an fertigen Images eigentlich nur Debian, Ubuntu und Alpine - und wenn es hoch kommt mal von einem RDBMS, sofern das lokal läuft. Alles andere ist mir zu intransparent. Selbst wenn die Images irgendeine Qualitätskontrolle durchlaufen, was ist mit den Dockerfiles auf denen sie basieren? Dann hat man im Zweifelsfall viele Layer von Dockerfiles, und damit viele Angriffspunkte - oder Möglichkeiten zur Schlamperei.
Vielen Dank. Alpine Linux war bisher nicht auf meinem Radar. Mal schaun, ob die Distro was taugt. Laut Wikipedia Eintrag scheints viel versprechend zu sein. Bare minimum, hardened Distro mit exzellenter Xen Unterstützung.
Während versucht wird, mittels Reproducible Builds die Erstellung von Paketen nachvollziehbar zu machen, werden andererseits Lösungen wie Docker und LXC auf den Markt geworfen, bei denen die Images nicht vor Manipulationen geschützt sind. Zwar gibt es die Möglichkeit, Images zu signieren. Doch wird dies AFAIK kaum genutzt.
Die einzig für mich akzeptable Lösung war OpenVZ 6. Hier habe ich meine "OS Templates" noch aus den Stage3 Tarballs des Gentoo Projektes erstellt. Diese sind glücklicherweise signiert. Mit OpenVZ 7 ist man leider davon abgekehrt. Hier wird ähnlich Docker auf ein Repo zurückgegriffen.
Gottseidank muss man diesen ganzen gehypten Dreck nicht benutzen
Software die nicht als RPM gebaut werden kann ommt nicht auf mein System, gertig, so einfach ist das
Ich nutze an fertigen Images eigentlich nur Debian, Ubuntu und Alpine - und wenn es hoch kommt mal von einem RDBMS, sofern das lokal läuft. Alles andere ist mir zu intransparent. Selbst wenn die Images irgendeine Qualitätskontrolle durchlaufen, was ist mit den Dockerfiles auf denen sie basieren? Dann hat man im Zweifelsfall viele Layer von Dockerfiles, und damit viele Angriffspunkte - oder Möglichkeiten zur Schlamperei.
Vielen Dank. Alpine Linux war bisher nicht auf meinem Radar. Mal schaun, ob die Distro was taugt. Laut Wikipedia Eintrag scheints viel versprechend zu sein. Bare minimum, hardened Distro mit exzellenter Xen Unterstützung.