Conteneurs Linux
Exploiter un LXC non privilégié proprement
Comprendre les impacts UID/GID, montages et permissions avant d’héberger un service sensible.
Valider la compatibilité du service
Un service qui exige privilèges kernel, montages spéciaux ou accès matériel n’est pas toujours fait pour un LXC non privilégié.
Comprendre les identifiants mappés
UID et GID vus dans le conteneur ne correspondent pas forcément à ceux de l’hôte. Cette traduction explique beaucoup de problèmes de droits.
Limiter les montages exposés
Montez uniquement les dossiers nécessaires, avec les droits minimums. Un montage trop large annule une partie de l’intérêt du conteneur non privilégié.
Tester les opérations sensibles
Upload, écriture de cache, rotation de logs et restauration doivent être testés. Les permissions cassent souvent au moment le moins confortable.
Documenter chaque exception
Si vous accordez un droit particulier, notez pourquoi, pour combien de temps et comment le retirer. L’exception permanente devient vite une dette.
Préparer une preuve de bon fonctionnement
Avant de livrer, gardez un test d’écriture, un test de lecture et une capture des montages réellement utilisés.
Pour terminer
- UID/GID compris
- Montages minimaux
- Exceptions tracées