Web hosting is an integral part of the service catalogue provided by the Information Systems Directorate (ISD) at the Académie de Lyon local education authority. In 2014 the DANE (Academic Delegation for Digital Education) and the ISD were tasked with modernising its hosting infrastructure that had become obsolete. The main difficulty for a web host lies in its ability to reconcile the demands of webmasters, the availability of services to users, the security (Availability, Integrity, Confidentiality and Traceability, or AICT) required by the Chief Information Security Officer (CISO), while respecting the technical and time constraints of the IT team. The shift towards a virtualisation infrastructure is a huge leap forwards in terms of the reliability and availability of hosting services. Nevertheless, competition from private hosting companies, the social climate and the context of international policy have highlighted the limitations of this architecture. Our strategy is therefore focused on the compartmentalisation of services and websites under Docker.
This presentation will detail the implementation of the Docker overlay loaded in a virtual machine. We will comment on the importance of examining and planning:
* storage space (identifying live data and dead data)
* image management
* procedures for updating containers
* service management in a container with //supervisord//.
Finally, we will discuss the key points regarding security for Docker (the kernel is shared) and the best practices to adopt when creating a container: resource limitations (//CGROUP//), restricting user rights (//CAPABILITIES//) and the use of //user namespaces//.
L’hébergement web est une partie intégrante du catalogue de services proposé par la D.S.I du Rectorat de l’académie de Lyon. En 2014, la Délégation Académique au Numérique Éducatif et la Direction des Systèmes d’Information sont missionnées pour moderniser l’infrastructure d’hébergement devenue obsolète. La principale difficulté pour un hébergeur réside dans sa capacité à pouvoir concilier les demandes des webmasters, la disponibilité du service aux usagers, la sécurité (D.I.C.T) exigée par le RSSI tout en respectant les contraintes techniques et de temps de l’équipe Système.
L'évolution vers une infrastructure de virtualisation est un saut majeur dans la fiabilisation et la disponibilité des services d'hébergement. Néanmoins, la concurrence des hébergeurs privés, le climat social et le contexte de politique internationale ont mis en exergue les limites de cette architecture. Notre stratégie s'est donc orientée sur le cloisonnement des services/sites web sous Docker.
Cette présentation détaillera la mise en oeuvre de la surcouche Docker embarquée dans une machine virtuelle. Nous reviendrons sur l'importance de bien étudier et organiser :
* l'espace de stockage (identifier les données vivantes et données mortes)
* la gestion des images
* les procédures de mise à jour des conteneurs
* la gestion des services dans un conteneur avec //supervisord //
Enfin nous aborderons les points clés en matière de sécurité pour Docker (le Kernel est partagé) et les bonnes pratiques à adopter lors de la création d'un conteneur : limitations des ressources (//CGROUP//), restriction des droits utilisateurs (//CAPABILITIES//), et l'utilisation des "//user namespaces//".