mirror of
https://github.com/yeasy/docker_practice.git
synced 2026-10-19 09:36:13 +00:00
yeasy
ac5ec03ab5
安全（四条，前三条都是书自己打自己）：
- 18.5 的自定义 seccomp 示例用 `"defaultAction": "SCMP_ACT_ALLOW"` 写了一个
blocklist。但 `--security-opt seccomp=<file>` 是**整体替换**默认 profile
而非叠加（官方 seccomp 文档：容器"uses the default profile unless you
override it"），而默认 profile 恰恰是 deny-by-default 的 allowlist——本节
第 11 行自己就这么写的。净效果是：挡住了 chmod，却把默认拦下的那 ~44 个
高危调用（unshare / keyctl / add_key / bpf / perf_event_open / init_module
/ reboot 等）全部放行，**比不加这个参数更危险**，而读者会以为自己加固了。
改为从官方 default.json 派生，并在示例前置醒目警告。
- 7.6 把 `docker run -e DB_PASSWORD=xxx` 标成「✅ 正确」。它只是把泄漏路径
从镜像换到了别处：进 shell history、进宿主机进程 argv（同机任何用户 ps
可见）、并永久固化在 `docker inspect` 的 Config.Env 里。而本书 11.8:102
明写「不要把数据库密码写入 compose.yaml、.env、**命令行** 或 Git」，
16.3:251 也要求「避免把真实口令写入命令历史」。改为标注 -e 的泄漏面，
并给出 --env-file / Compose secrets 的正确做法。
- 6.2 教读者起一个**无认证、无 TLS** 的 registry，且引导把它绑到内网地址、
开 insecure-registries，全节零安全提示。同网段任意主机可匿名 push，即
镜像投毒。而 18.3:17 用最强语气写着「绝不能在没有任何安全控制的情况下
强行开启」。示例改为绑 127.0.0.1，并在两处补上风险说明与指向 6.3 的出口。
- 18.6 的 CI 示例里，Trivy 那条注释写着「务必使用不可变的 commit SHA 引用，
而非可变标签」（引的是 2026-03-19 Trivy Actions 76 个 tag 被劫持事件），
可同一 workflow 里另外九条 uses 全是可变标签，包括持有凭据的
docker/login-action。补一段说明点破这一点。（本仓库自己的
.github/workflows/ 确实全部按 SHA 钉死，已实测确认后才写进书里。）
版本时效（对 GitHub releases / endoflife.date / docs.docker.com 逐条核实）：
- 5.1 与 6.3 说 `ubuntu:24.04`「是最新 LTS」——最新 LTS 已是 26.04
（2026-04-23 发布）；而本书 3.1 早就列出了 26.04，属书内不一致。更糟的是
5.1 建议可替换为 `ubuntu:20.04`，而 3.1:33 正警告 20.04 已不在支持列表。
- 3.1 的支持列表里的 Ubuntu 25.10 已被 Docker 官方安装文档移除（该版本本身
也已于 2026-07-01 EOL），删去。
- 4.6 拿 `alpine:3.20` 当"锁定版本以确保可重现性"的范例，而 3.20 已于
2026-04 EOL；改为 3.24。
- 3.2 的「Debian Bullseye 11 将于 2026 年 8 月底结束长期支持」时态已过期。
- kind v0.31.0 → v0.33.0（落后两个小版本）；etcd v3.5.29 → v3.5.33。
- 10_buildx/README 推荐「Docker v28 及以上」，而紧接着的段落就在用
「自 Docker Engine 29 起」立论；改为 v29。
第十四章 部署 Kubernetes
目前，Kubernetes 支持在多种环境下使用，包括本地主机（Ubuntu、Debian、CentOS、Fedora 等）、云服务（腾讯云 TKE、阿里云 ACK、百度云等）。
你可以使用以下几种方式部署 Kubernetes，接下来的小节会对各种方式进行详细介绍。
- 使用 kubeadm 部署（CRI 使用 containerd）
- Kubernetes 也支持 CRI-O 等符合 CRI 的运行时；本文以 containerd 为主线。
- 使用 kubeadm 部署（使用 Docker）
- 在 Docker Desktop 使用
- Kind - Kubernetes IN Docker
- K3s - 轻量级 Kubernetes
- 一步步部署 Kubernetes 集群
- 可视化管理界面：Headlamp 与历史 Dashboard
- Kubernetes 命令行 kubectl
除了上述方式，企业生产环境中还有两个常见的部署工具值得关注：