Телеграмм чат группы itarchitect страница 3476

я просто не могу представить себе сумму репутационного ущерба амазона например, если они говорят что вот у нас сертифицировано сторонними аудиторами и потом в зоне отвественности амазона находят дыру например и из-за этого страдает кто-то из крупных клиентов... поэтому я предполагаю что там честный аудит насколько это реально потому что иначе проблем потом гораздо больше...

источник

20:07пожаловаться #10

PD

Phil Delgyado in Архитектура ИТ-решений

Oleg Soroka

сейчас решений "быстро как докер, надёжно как ВМ" - как грязи, включая под к8с

А какие?

источник

20:08пожаловаться #11

PD

Phil Delgyado in Архитектура ИТ-решений

Al T

где grep не grep и баш не баш

Да даже просто чужой контейнер получит рут и доступ к данным вашего контейнера. На докере такие уязвимости находят временами.

источник

20:09пожаловаться #12

PD

Phil Delgyado in Архитектура ИТ-решений

Al T

я просто не могу представить себе сумму репутационного ущерба амазона например, если они говорят что вот у нас сертифицировано сторонними аудиторами и потом в зоне отвественности амазона находят дыру например и из-за этого страдает кто-то из крупных клиентов... поэтому я предполагаю что там честный аудит насколько это реально потому что иначе проблем потом гораздо больше...

А я не знаю, где там ответственность докера. Там очень странно написано про PCI DSS для aks

источник

20:10пожаловаться #13

PD

Phil Delgyado in Архитектура ИТ-решений

За код докера они же не отвечают, только за свежесть версий (наверно).

источник

20:10пожаловаться #14

PD

Phil Delgyado in Архитектура ИТ-решений

Проблема в докере на чужом железе, не в AKS. И может они аудировали доступ к железу, а не защищённость контейнеров друг от друга.

источник

20:12пожаловаться #15

PD

Phil Delgyado in Архитектура ИТ-решений

В может в AKS можно указать, что мои контейнеры только с моими могут быть на железе. И аудирован этот сценарий.
Хотя нам аудитор не дал ставить на нашем железе докеры из PCI DSS scope и просто DMZ на одной железке. А вот разные kvm-ки разрешил

источник

20:14пожаловаться #16

AT

Al T in Архитектура ИТ-решений

worker nodes только железо будет аудировано. все что ставится на worker nodes в EKS сертифицируется самим пользователем

источник

20:14пожаловаться #17

PD

Phil Delgyado in Архитектура ИТ-решений

Но может уже считают докеры надёжными. Хотя с чего бы )

источник

20:14пожаловаться #18

D

Danil in Архитектура ИТ-решений

Phil Delgyado

Да даже просто чужой контейнер получит рут и доступ к данным вашего контейнера. На докере такие уязвимости находят временами.

не может чужой контейнер получить доступ. Ваши контейнеры живут на ваших ВМках и больше там ничего нет. ВМки для EKS - самые обычные ВМки которые не шарятся ни с кем

источник

20:16пожаловаться #19

AT

Al T in Архитектура ИТ-решений

ноды в случае Ec2 всегда только ваши, в случае с fargate там другой принцип - надо сначала посмотреть сертифицирован ли eks fargate для PCI DSS или нет

источник

20:17пожаловаться #20