컨테이너 용어 사전

namespace·cgroup·루트 변경으로 격리한 리눅스 프로세스. 호스트 ps에 그대로 보인다.

무엇이 보이는지를 제한하는 커널 기능. 컨테이너 격리의 절반을 담당한다.

자원 사용량을 제한하는 커널 기능. 메모리는 죽이고 CPU는 느리게 만든다.

읽기 전용 템플릿. 겹겹이 쌓인 레이어로 이뤄지고, 같은 레이어는 한 벌만 저장된다.

여러 레이어를 겹쳐 하나로 보이게 하는 파일시스템. 쓰기가 일어나면 파일을 통째로 복사한다.

COPY/ADD는 파일 메타데이터 체크섬, RUN은 명령 문자열만 본다. 한 번 깨지면 아래 전부 재실행된다.

태그는 언제든 다른 이미지를 가리킬 수 있다. latest는 최신이라는 뜻이 아니다.

이미지를 만드는 명령서. 명령어 18개 중 절반이 비슷한 것끼리 짝을 이뤄 사고를 만든다.

무엇인가(ENTRYPOINT) + 기본 인자(CMD). exec form이 아니면 PID 1이 sh가 되어 시그널이 안 간다.

빌드 도구를 최종 이미지에서 뺀다. 크기와 공격 표면이 함께 줄어든다.

컨테이너 안 프로세스는 PID 1이 된다. 핸들러가 없으면 SIGTERM이 무시된다.

128 + 시그널 번호 규칙. 137이면 SIGKILL이고, OOMKilled인지부터 가른다.

메모리 제한을 넘겨 커널이 죽인 상태. 애플리케이션 로그에 아무것도 남지 않는다.

컨테이너를 지워도 남는 저장소. union filesystem을 거치지 않아 쓰기가 빠르다.

컨테이너 안의 localhost는 자기 자신이다. 이름으로 찾으려면 사용자 정의 네트워크가 필요하다.

stdout/stderr를 도커가 수집한다. 기본 드라이버는 제한이 없어 디스크를 채운다.

작을수록 취약점도 적다. 다만 alpine의 musl, distroless의 디버깅 제약을 함께 본다.

기본이 root다. --privileged와 docker 소켓 마운트는 사실상 호스트 권한을 주는 것이다.

이미지 안 패키지를 CVE와 대조한다. 0으로 만들려 하지 말고 실제로 쓰는 경로부터 본다.