컨테이너와 Docker

#define _GNU_SOURCE
#include <stdio.h>
#include <sched.h>
#include <unistd.h>
#include <sys/wait.h>

/* 새 네임스페이스에서 실행될 함수 */
int child_func(void *arg) {
    printf("자식 PID (네임스페이스 내부): %d\n", getpid());  /* 1 */

    char hostname[] = "container";
    sethostname(hostname, sizeof(hostname) - 1);

    /* 새 네임스페이스에서 셸 실행 */
    execlp("/bin/sh", "sh", NULL);
    return 0;
}

int main() {
    char stack[65536];

    /* 새 PID + UTS + NET 네임스페이스로 프로세스 생성 */
    pid_t pid = clone(
        child_func,
        stack + sizeof(stack),
        CLONE_NEWPID | CLONE_NEWUTS | CLONE_NEWNET | SIGCHLD,
        NULL
    );

    printf("호스트에서 본 자식 PID: %d\n", pid);  /* 실제 PID */
    waitpid(pid, NULL, 0);

    return 0;
}

# cgroup v2에서 메모리 제한 설정 (개념)
# /sys/fs/cgroup/my-container/

# 메모리 제한: 256MB
echo $((256 * 1024 * 1024)) > /sys/fs/cgroup/my-container/memory.max

# CPU 제한: 50% (100ms 중 50ms만 사용)
echo "50000 100000" > /sys/fs/cgroup/my-container/cpu.max

# PID 개수 제한: 최대 100개 프로세스
echo 100 > /sys/fs/cgroup/my-container/pids.max

# 프로세스를 cgroup에 추가
echo $$ > /sys/fs/cgroup/my-container/cgroup.procs

FROM python:3.11-slim

WORKDIR /app

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

COPY . .

# non-root 사용자로 실행 (보안)
RUN useradd -r appuser
USER appuser

EXPOSE 8000
CMD ["python", "app.py"]

# 이미지 빌드
docker build -t myapp:1.0 .

# 컨테이너 실행 (리소스 제한 + 보안 옵션)
docker run -d \
  --name web \
  -p 8080:80 \
  --memory=512m \
  --cpus=1.0 \
  --read-only \
  --security-opt=no-new-privileges \
  nginx:alpine

# 실행 중인 컨테이너 목록
docker ps

# 컨테이너 내부 접속
docker exec -it web /bin/sh

# 리소스 사용량 모니터링
docker stats web

# 컨테이너가 사용하는 네임스페이스 확인
docker inspect --format '{{.State.Pid}}' web
# ls -la /proc/<PID>/ns/

# Docker 기본 seccomp 프로파일은 약 300개 시스콜 중 ~44개를 차단
# 예: mount, reboot, syslog 등 위험한 시스콜

# 커스텀 seccomp 프로파일 적용
docker run --security-opt seccomp=custom-profile.json myapp