🚀 go-pugleaf

W dniu 28.03.2023 o 15:17, Dominik 'Rathann' Mierzejewski pisze:
> kontenerami. Mówię z doświadczenia i to produkcyjnego.
A mówiąc o produkcji, to masz na myśli serwer wystawiony na świat i 
aplikacja które przyjmuje zapytania ze świata? czy raczej chodzi o 
serwer w LANie?

> Są bezpieczniejsze rozwiązania. W/w wada rzutuje na bezpieczeństwo, bo
> demon dockera działa z prawami roota i były w nim dziury umożliwiające
> włamanie do hosta z poziomu kontenera.
> 
> Zamiast dockera polecam podman. Obrazy dockera z nim działają i jest
> niemal 100% kompatybilny z dockerem jeśli chodzi o linię poleceń. Do
> tego nie wymaga roota.
A jak ma się sprawa z portami? Z tego co czytałem, to podman, z racji na 
to, że działa jako zwykły user, to niema dostępu do portów ponizej 1025.
A jak aplikacja musi mieć dostęp do takiego portu? Chodzi mi o ten 
przykładowy AdGuard Home, który jako serwer DNS, musi używać portu 53. 
Wiem, że można przekierować porty na wyższe w podmanie, ale nie wiem, 
czy w tym przypadku się da, bo szczerze mówiąc, to nie widziałem nigdy 
klienta DNS,który by umożliwial zmianę portu.
Czyżby trzeba było jednak uruchamiać podmana jako root?

A czy dałob się zrobić coś takiego?
1. Uruchomić podmana jako user bez przypisanego shella (dodatkowe 
zabezpieczenie)
2. Wystawić dane (system plików) poza dockera?
Chyba coś takiego nie zadzała, bo jak user nie ma shella, to chyba nie 
może także zapisywać?
Wiem, że można kombinować z sudo, ale żeby sam  docker zapisywał, to już 
chyba nie bardzo?