| |
| 2.34, Аноним (35), 18:58, 14/05/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> позволяющих развернуть рабочие окружения с Python, Go, Node.js ...
Ну там дальше можно не смотреть, уже достаточно уязвимостей. Плюс Copy Fail от 1.0 до 3.0 - никакой контейнер не спасёт.
| | |
|
| 1.5, test (??), 14:04, 14/05/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Вообще новость странно написано. Эта Колибри у них давно.
Там все это за деньги (по подписке от RHEL).
А только что сделали Fedora Hummingbird
и оно уже фрии но всего 3 контейнера
(bootc-os, minio, minio-client)
И единственно что прикольно так это bootc-os, он может юзать как контейнер так и в ВМ или прям с железки.
| | |
| |
| |
| |
| 4.36, anoni (?), 18:59, 14/05/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
И? Как твоя ссылка отвечает на вопрос анона? Или там некий другой "минио"?
| | |
|
|
|
| |
| 2.27, kusb (?), 18:18, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
Предыдущие были рекурсивно упакованы в предыдущие контейнеры.
| | |
| 2.37, Аноним (35), 19:02, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Куда предыдущие делись?
Предыдущие используются на кухне для отлива варёных макарон.
| | |
|
| 1.11, Аноним83 (?), 16:09, 14/05/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
А в чём прикол то?
Я за пару дней написал шелл скрипт который по скромному шаблону в почти автоматическом режиме делает chroot под указанное приложение/порт, там внутри всё в RO кроме данных приложения, порезанный /dev и почти никаких лишних файлов.
Никакого рокет саенс, всё примитивно.
| | |
| |
| 2.14, Аноним (14), 16:49, 14/05/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
сделай нам дистрибутив, а то лень тратить пару дней на скрипт
| | |
| 2.15, penetrator (?), 16:50, 14/05/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
супер, только нафига?
чтобы отрезать одно приложение от другого в случае шаринга на одном и том же серваке?
| | |
| |
| 3.17, Аноним (17), 16:51, 14/05/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Да, чтобы отрезать одно приложение от другого в случае шаринга на одном и том же серваке, верно. Спасибо за интервью.
| | |
| |
| 4.26, penetrator (?), 18:12, 14/05/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Да.
> Потому что так безопаснее.
а почему не использовать systemd и там настроить ProtectSystem, PrivateTmp, PrivateDevices и прочие?
| | |
|
|
| 2.16, Аноним (17), 16:50, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А в чём прикол то?
А в чём прикол leftpad? Здесь то же самое.
| | |
| 2.20, Аноним (20), 17:26, 14/05/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Прикол в том, чтобы не тратить время на примитивный шеллскрипт, а пойти сразу решать бизнес-задачу. Хотя тебе на локалхосте это не актуально.
| | |
| |
| 3.21, Аноним83 (?), 17:39, 14/05/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Оба решения дают по сути один и тот же контейнер, только у меня не надо ничего качать где то там, можно всё локально собрать или завернуть то что уже есть.
Для примитивных бинарников достаточно просто указать скрипту имя бинарника и он сам все либы подтянет в создаваемое окружение из системы.
Время создания - менее сикунды для простых и секунды для больших, где 200+мб зависимостей.
Обновлять легко - просто обновляешь в системе и пересоздаёшь.
Я настроил так что у меня при запуске сервиса оно само создаётся, а при остановке уничтожается.
Но с точки зрения бизнесса конечно, на шелл скрипт подписку недоадминам на продать.
| | |
| |
| 4.33, Аноним (33), 18:47, 14/05/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Но с точки зрения бизнесса конечно, на шелл скрипт подписку недоадминам на продать.
С точки зрения бизнеса тебя бы уволили к чертям как профнепригодного, если бы вместо решения бизнес-задач ты сидел и два дня подряд развлекался с башем.
| | |
| |
| 5.44, Colorado_House_of_Representatives (?), 19:32, 14/05/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
С точки зрения бизнеса тебя бы уволили, что критичную инфраструктуру привязываешь к онлайн готовым образам. Интернет отвалится, все эти сикьюрные образы вдруг станут несекьюрными и не обновляемыми. В отличие от локальных РЕПО и локально собираемого chroot или контейнера.
| | |
| |
| 6.47, Аноним (33), 20:40, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Интернет отвалится, все эти сикьюрные образы вдруг станут несекьюрными и не обновляемыми.
Шта? При отвалившемся интернете любые образы становятся "несекьюрными и не обновляемыми". Включая классические репозитории Федоры.
> В отличие от локальных РЕПО и локально собираемого chroot или контейнера.
Я смотрю, ты в логику не очень, да? Как ты собрался при "отвалившемся интернете" обновлять код той самой локальной репы/контейнеров? Или "это другое"?
| | |
| |
| 7.48, Colorado_House_of_Representatives (?), 21:21, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
Я смотрю это вы не в курсе. Есть такая вещь как lts. Туда обновления приходят редко. Точечные исправления багов и уязвимостей. В отличие от этих вот контейнеров, требующих непрерывных обновлений. Так вот, скачать через лимитную сеть 1,5 пакета с фиксами или скачивать постоянно целиком обновления контейнеров? Что накладнее?
| | |
| |
| 8.49, Аноним (33), 21:28, 14/05/2026 [^] [^^] [^^^] [ответить] | +/– | Сперва ты поешь о несекьюрными и не обновляемыми , а теперь у нас уже обновлен... текст свёрнут, показать | | |
|
|
|
| 5.50, Аноним83 (?), 21:28, 14/05/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Так смотря в чём бузинесс заключается :)
Может это у вас работа настроить 100500 хостов до обеда и в два раза больше после обеда, а вечером за это плошка миса и кошкодевка.
А я как раз в том месте где разрабатывают всякие штуки, которые потом одмины, после платных курсов у вендоров внедряют у себя.
PS: не башем а шелл скриптом, не надо тут линуксизмов.
| | |
|
|
| 3.28, kusb (?), 18:21, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
Мне кажется что бизнес склонен к таким на первый вгляд странным решениям не из-за их рациональности (скрипт проще), а из-за сомнений людей по поводу ответственности и самой ответственности. Если я напишу скрипт - это сделал я, его труднее объяснить как что-то глобальное и надёжное...
| | |
| |
| 4.29, kusb (?), 18:22, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
И это оптимизация ответственности на разных уровнях. И немного взаимозаменяемость здесь тоже.
| | |
|
| 3.31, Аноним (33), 18:42, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> Я за пару дней написал шелл скрипт
> Прикол в том, чтобы не тратить время на примитивный шеллскрипт, а пойти сразу решать бизнес-задачу.
А зачем решать бизнес задачи, если можно вместо этого два дня сидеть писать шелл-скрипт? Ты что, не труъ? Тогда что ты забыл на этом ресурсе? 😭
| | |
| |
| 4.53, Аноним83 (?), 22:31, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Думаю тут недопонимание.
Скрипт я писал для себя, за свой счёт, вместо того чтобы валятся, пить пивас и смотреть фудбик.
Он решает мои личные бизнесс задачи: я потерял пару дней, и теперь следующие лет 15 а то и больше буду этим пользоватся.
Прошлым решением для генерации chroot статических я пользовался более 10 лет (или 15 - не уверен уже), там был один только php с разным содержимым которое я шарю в инете с домашнего компа.
Писал я его тогда когда знал сильно меньше, было оно сильно корявее и заметно больше по объёму.
Тем не менее за эти 10+ лет не смотря на дырявость php решений у меня ничего не случилось, никто ничего не сломал. Оверхэдом было то что я руками запускал скрипт для обновления chroot после одновления портов.
Сейчас даже этого не нужно будет делать: обновил - просто перезапусти сервисы.
Попутно куски его и ещё других скриптов пойдут в билдсистему для портов, на замену пудрили. Оверхэд в 0,5 - 5 сек на построение окружения для сборки порта мне кажется вполне годным, на фоне того франкенштейна который из себя представлят пудриля.
Где там были в 2010 году такие как коментатор про бузинес?
Поди бегали по клиентам настраивали апачи с IIS, да каждую неделю вычищали php сайты от очередных вирусов, шеллов и прочего что туда нанесло.
Да и в целом такие замечания всегда напоминают картинку, где мужикам некогда круглые колёса внедрять, им на квадратных сил кое как хватает возить потребности бизнеса :)
Типа линейный персонал учит архитекторов жизни.
| | |
|
|
| |
| 3.55, Аноним83 (?), 22:54, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
Выдимо вылошу на шитхаб, но не сегодня.
Это же придётся хотя бы readme писать и описывать там всё переменные и для чего они :)
| | |
| |
| 4.59, Аноним (59), 02:03, 15/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
Нужно человекопонятно называть переменные чтобы потом не заниматься литературой. Особенно критично как раз со всякими плохочитаемыми штуками вроде шелла.
| | |
|
|
| 2.32, myster (ok), 18:45, 14/05/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
 > А в чём прикол то?
> Я за пару дней написал шелл скрипт
А в чём прикол костылить? Сегодня с Claude Code и другими инструментами можно и быстрее уложиться.
Но есть проверенные решения: LXC, systemd-nspawn, Podman, Docker, K8s, Nomad и т. д.
Если интересно, посмотрите историю коммитов в каждом проекте и посмотрите, сколько лет ушло на решение тех или иных проблем. По-вашему, они там все в носу ковыряют, а вы за 2 дня тоже самое реализовали?
| | |
| |
| 3.45, Аноним (17), 19:34, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Но есть проверенные решения: LXC, systemd-nspawn, Podman, Docker, K8s, Nomad и т. д.
А эти решения занимаются сборкой и удалением лишнего? Нет.
| | |
| 3.54, Аноним83 (?), 22:52, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Да да, вот придут ЭВМ, в мире проблемы в мире решат!
LXC - там целый линукс внутри, зачем мне такое? Мне лень конфигурить отдельную сеть и прочее, да и оверхэда сильно больше.
systemd-nspawn - похоже, но у меня фря. А нэймспейсы в линуксе вечно дырявые.
Podman, Docker, K8s, Nomad - свалка и инструменты по управлению свалкой.
Я за два дня реализовал то что делает croot RO окружение практически в автоматическом режиме.
Если указать порт - оно его из системы может вытащить со всеми его зависимостями и запаковать.
Если указать приложение - то всего зависимые явно либы так же будут вытащены и запакованы.
Дальше начинается тюнинг: хочешь по меньше - есть ручки чтобы руками ненужное отрезать и нужное добавить.
400 строк шелл скрипта покрыло мои личные нужды для 15+ программ/сервисов.
Шаблоны для некоторых программ состоят 3-4 строк.
И я конечно рад за всех этих незнакомых людей что это всё понаписали, но у меня потребности немного другие, ровно как и окружение.
Делать как все - значит жить как все, те плохо.
И если что, я не считаю себя ничтожеством глупее всех остальных, которое ничего сам сделать не может, поэтому вынужден пользоватся чужим.
| | |
|
| 2.65, runoverheads (ok), 12:49, 15/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
 chroot - не является изоляцией, а простой сменой каталога, и бесполезен в контексте безопасности тк обходится.
Контейнер с механизмом gVisor только поможет от Copy Fail и Dirty Frag.
| | |
|
| 1.18, Аноним (18), 17:00, 14/05/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– | |
>позволяющих развернуть рабочие окружения с ... OpenJDK, .NET
Можно конечно потерпеть Жабу, но вот некрософтовский дотНЕТ терпеть не собираюсь.
| | |
| |
| 2.63, Аноним (63), 10:36, 15/05/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
ЫЫ :) Вы б к доктору сходили, что ли....
.NET ни на грош не опаснее Джабы, а учитывая скорость развития, дотнет давно улетел вперёд от "корпорожабы".
| | |
|
| 1.30, myster (ok), 18:36, 14/05/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А с играми как? Кто тестил?
Или как десктопную ОСь лучше не использовать?
| | |
| |
| 2.42, Аноним (35), 19:08, 14/05/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А с играми как?
Я бы мог протестить, если бы было что тестить.
| | |
| 2.70, runoverheads (ok), 15:36, 15/05/2026 [^] [^^] [^^^] [ответить]
| +/– |
в целом в ней смысла нет.
вот разрешить внутри контейнера сеть и сразу открываются все эти прекрасные уязвимости по типу dirty frag.
| | |
|
| 1.62, Аноним (63), 10:35, 15/05/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Контейнеры - лишь костыль поверх неуклюжей и дырявой "системы защиты" Линукс. Думаете, вы создали "песочницу" и все проблемы ушли? Нет, они просто спрятались под ЭТУ ЖЕ ПЕСОЧНИЦУ.
| | |
| 1.69, runoverheads (ok), 15:26, 15/05/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
selinux на максималках, не более, т.к. максимально задушить доступный функционал ос.
разделения на уровне страничного кеша нет. т.е. ещё один бесполезный костыль который кроме усложнения жизни ничего не даст.
gVisor (application kernel) или Kata Containers (vm kernel) выглядят интереснее в сравнении с этим, предоставляя изолированное linux kernel.
| | |
|
