Work.Дыбр

[dzz]

Флегматично: «Docker-контейнер, в котором нет интерпретатора bash, можно назвать безбашенным»

Сижу и придумываю вменяемое CI/CD для наших серверных продуктов, допускающих однотипное "маленькое" (один инстанс стека) и "большое" (автоконфигурируемое ХЗ-сколько-штук) развёртывание через docker-контейнеры. Ну и автогенерацию-автозапись образов в репозиторий по тегу из гита в качестве промежуточного шага. Продукты - не микросервисы, а такие "полумонолиты", хорошо оптимизированные под свои задачи :)

Ни одно из готовых решений не покрывает всех хотелок, а хочется сделать красиво :)

DeepSeek в качестве советчика, кстати, весьма неплохо подкован в этой теме, во всяком случае, предлагает вполне рабочие варианты связок.



Картинка из Шедеврума.

P.S. За окном дождь с запахом липы. В этом году июнь - особенно липовый месяц, столько одновременно цветущих лип давно не видел.

Comments

[dzz.livejournal.com]

/bin/false в качестве юзершелла в passwd — это грубо :)
Актуальный запрет логина — это, всё-таки, /usr/sbin/nologin

[jno2004.livejournal.com]

Этот ваш nologin появился вчера. До него был грубый false.

[jno2004.livejournal.com]

Короче, минимальный шелл - это, таки, true

[dzz.livejournal.com]

Ага, поставь его какому-нибудь юзеру в качестве основного :)

[jno2004.livejournal.com]

Ну, раньше был у всяких служебных...
А прям щаз расклад шеллов такой примерно:

$ cut -d: -f7 /etc/passwd | sort -u
/bin/bash
/bin/false
/bin/sync
/usr/bin/false
/usr/sbin/nologin

Или так:

$ awk -F: '{a[$7]+=1}END{for(x in a)print(x,a[x])}' /etc/passwd 
/bin/false 8
/usr/bin/false 2
/bin/bash 2
/bin/sync 1
/usr/sbin/nologin 42

[dzz.livejournal.com]

Интересно, в чём разница между /bin/false и /usr/bin/false

[jno2004.livejournal.com]

Сейчас? Ни в чём — там симлинк или маунт /bin с /usr/bin

[dzz.livejournal.com]

У меня в убунте/минте ни то, ни другое — хардлинк.

[jno2004.livejournal.com]

Эвер хэв ю син эни факин диференс?

[dzz.livejournal.com]

Nope. Байты одинаковые. Хотя, несложно написать разное поведение в зависимости от argv[0];

[jno2004.livejournal.com]

да, переписать true — это тема!

на расте, разумеется.

и с изменением поведения от *argv — чтобы мало не казалось...
ЗЫ. чтобы false и true были одним бинарником, и остальные варианты (two, three, four, ...) возвращали соответствующий код завершения, ога.

ЗЗЫ. это вам, блин, не IEFBR14, а современное безопасТное приложение будет!

ЗЗЗЫ. вот гуй к нему придумать — у меня фантазма не хватает...

[dzz.livejournal.com]

> возвращали соответствующий код завершения

/usr/bin/twohundredfiftyfive :)

> IEFBR14

Ну у тебя и память :)))
Там, помнится, две команды на ассемблере.

[jno2004.livejournal.com]

по существу — одна: собссно BR 14 (бранч по 14-му регистру, где штатно — адрес возврата после BALR)

[dzz.livejournal.com]

А R15 обнулить?

[jno2004.livejournal.com]

вот, не помню, был там XR 15 или нет...

[dzz.livejournal.com]

Я видел вариант SR 15,15, вроде, каноничный.

[jno2004.livejournal.com]

SR — каноничный, но чаще было, таки, XR — чуток быстрее...

Впрочем, там, вроде, 1BFF 07FE — две команды: SR + BCR

[dzz.livejournal.com]

> чтобы false и true были одним бинарником

Дык, busybox так и сделан.

[jno2004.livejournal.com]

ну, новый бизибокс и будет, но безопасТный, с телеметрией, бэкждеком и прочими атрибутами.

интересно, сможет ли оно парсить имена, начинающиеся с minus? и что будет делать? как там в ржавом с целочисленным переполнением?

[dzz.livejournal.com]

/bin/blackjack и /bin/whores, ага :)

Я посмотрел на rust, посмотрел, и решил, что пока мне и так не скучно. Парсить-то дело нехитрое, а вот код возврата в линухе — uint8

[jno2004.livejournal.com]

об чём и речь :)