Har kørt containere på Podman og Quadlet

Situation. Platformen havde brug for et sted at køre applikationscontainere. Det oplagte valg var branchestandarden, og det oplagte valg var forkert for denne vært på en helt bestemt måde: den omskriver kernens pakkefilterregler og placerer containerporte over de firewallregler, hærdningsrollen installerer, så en container i al stilhed bliver tilgængelig fra internettet, uanset hvad firewallen har fået at vide.

Opgave. Der skulle vælges et containerlag, som ikke går uden om firewallen, ikke tilføjer endnu en supervisor ved siden af den, der allerede var betroet, og ikke kræver, at en person er root for at sende en release ud.

Handling. Laget er en dæmonløs containermotor, der kører enheder, som genereres af styresystemets egen supervisor. Der er ingen ekstra proceshåndtering: containere er tjenester, de starter, som tjenester starter, og de beskrives i den samme deklarative form som alt andet. Containerne bruger værtens netværk uden nogen publicerede porte overhovedet, og det fjerner spørgsmålet om at omgå firewallen i stedet for blot at afbøde det. Enhederne kører på systemniveau og ikke rootless, og det er noteret som en afvejning — det holder automatiseringen enkel og normal, på bekostning af den strengere isolation, rootless ville give, og noten siger, hvilken vej man skal gå, hvis udbrud fra containere nogensinde kommer til at betyde mere end enkel automatisering. Udrulning blev adskilt fra provisionering: root sætter udrulningsstien op én gang, og derefter udruller en bruger uden privilegier igen ved at køre ét fast script gennem en afgrænset regel, der tillader netop den kommando og ingen argumenter. Byg imaget, genstart tjenesten. Ingen root‑shell, ingen vilkårlige kommandoer.

Resultat. Containere kører under den supervisor, der allerede var betroet, bag den firewall, der allerede var erklæret, og en rutinemæssig release kræver ingen privilegeret adgang. Valget imod standarden er skrevet ned med sin begrundelse, og det betyder mere end selve valget — den næste person vil få at vide, at man skal bruge standarden, af hver eneste artikel, vedkommende læser.