A Docker felhőbe költözteti az ügynökök hosszabb feladatait

Hosszabb feladatok a laptopon túl

A Docker október 1-jén, a WeAreDevelopers World Congress North America rendezvényen mutatta be a Cloud Sandboxes szolgáltatást. A vállalat szerint a fejlesztők helyben kezdhetik el az ügynökök munkáját, majd ugyanazt a mikroVM-környezetet a Docker által kezelt felhőben folytathatják.

Ez azoknál a feladatoknál lehet hasznos, amelyek hosszabb futást igényelnek, vagy több párhuzamos munkafolyamat miatt túl nagy terhelést jelentenének a helyi gépnek. A feladatok akkor is tovább futhatnak, ha a fejlesztő bezárja a laptopját. A folyamat végén a fájlrendszer és az eredmények visszahozhatók helyi áttekintésre.

Minden sandbox egy elkülönített mikroVM, vagyis saját kernellel és Docker-démonnal rendelkező kis virtuális gép. Az ügynök ebben telepíthet függőségeket, alkalmazásokat építhet és konténereket futtathat. A felhőben a Docker biztosítja a számítási kapacitást, a fejlesztők pedig ugyanazt az sbx parancssori eszközt használhatják, mint a helyi sandboxoknál.

A helyi és a felhős hitelesítő adatok, valamint a szabályzatok külön állíthatók be. Így minden környezetben külön döntés marad, hogy az ügynök milyen hozzáférést kap. A Docker közlése szerint a Cloud Sandboxes már elérhető, a számítási kapacitás elszámolása másodpercenként történik.

MikroVM-es határ az ügynökök körül

Mark Cavage, a Docker elnöke és operatív igazgatója a rendezvény nyitóelőadásában négy feltételt emelt ki az ügynökök biztonságosabb használatához: az elkülönítést, a szabályozást, a választás lehetőségét és a kapacitást. A fejlesztőknek tudniuk kell, hol tevékenykedhet az ügynök, látniuk és leállítaniuk kell a munkáját, meg kell választhatniuk a modellt és az eszközöket, valamint a laptopon túl is futtatniuk kell a feladatokat.

A Docker egy olyan példát is bemutatott, amelyben egy konténerben futó ügynök hozzáfért a gazdagép Docker-foglalatához, majd ezen keresztül egy titkot olvasott ki a gazdagépről. A vállalat szerint ez nem új sérülékenység kihasználása volt, hanem a konfiguráció által biztosított hozzáférés következménye.

A Docker Sandboxes mikroVM-határt helyez az ügynök köré. A bemutatóban ugyanez a gazdagép Docker-foglalatán keresztüli hozzáférési kísérlet meghiúsult a sandboxban. A konténerek továbbra is az alkalmazások csomagolását és futtatását szolgálják, a sandbox pedig az ezeket építő ügynök számára biztosít külön végrehajtási határt.

Cavage ugyanakkor arra is felhívta a figyelmet, hogy az infrastruktúra szabályai nem oldanak meg minden problémát. Egy nem engedélyezett hálózati cél blokkolása más feladat, mint annak felismerése, hogy egy egyébként engedélyezett e-mail rossz címzetthez kerülne. Ezért továbbra is fontosak a szűk jogosultságok, például az üzenetek olvasásának és megfogalmazásának engedélyezése a küldés tiltása mellett.

Megosztható Kits és közös szabályozási réteg

A Docker új Sandbox Kit specifikációja egy megosztható csomagban írja le, hogy milyen eszközökre, szolgáltatásokra, hitelesítő adatokra és tárhelyre van szüksége az ügynöknek. A Kit egy OCI-kép, amely tartalmazza az ügynököt és eszközeit, valamint a kért hozzáférések deklarációit.

A csomagok a megszokott képkezelési eszközökkel építhetők, feltölthetők, letölthetők, vizsgálhatók és kivonat alapján rögzíthetők. Ha egy Kit új hálózati célpontot vagy hitelesítő adatot kér, a változás láthatóvá válik a csomag többi módosítása mellett. A futtatókörnyezet dönti el, mely kéréseket engedélyezi, és az ügynökön kívül érvényesíti a szabályzatot.

A specifikáció Apache 2.0 licenc alatt jelent meg, a Docker pedig vállalta, hogy a Cloud Native Computing Foundationhöz, vagyis a CNCF-hez viszi semleges irányítás céljából. A vállalat szerint a formátum megnyitása lehetőséget ad más futtatókörnyezeteknek az átvételre. A Docker Sandboxes az első olyan futtatókörnyezet, amely megvalósítja a specifikációt. A bemutatón a Nous Research nyílt forráskódú Hermes ügynöke is szerepelt, launch partnerként.

Tushar Jain, a Docker technológiai igazgatója az ügynök helyett a futtatókörnyezet szabályozását állította előadásának középpontjába. A bemutatóban egy GitHub-tár törlésére vonatkozó ügynökkérést alapértelmezett tiltási szabály állított meg, HTTP 403-as választ eredményezve. A Docker szerint a közös futtatási réteg az eszközök, hitelesítő adatok, jogosultságok és költségek szervezeti szintű kezelését teheti lehetővé.

A bejelentés a fejlesztők számára azt jelenti, hogy az ügynökök hosszabb feladatai a helyi kísérletezéstől elkülönített felhős kapacitásig ugyanazon munkafolyamat részeként kezelhetők. A hozzáférések külön szabályozhatók, a környezetek megoszthatók és felülvizsgálhatók, miközben a Docker szerint a fejlesztők továbbra is megválaszthatják a munkához illő ügynököt és modellt.