Desplegar Cyberwatch amb Swarm en un entorn reforçat

En els entorns reforçats, hi ha diversos problemes que poden impedir el bon funcionament de Cyberwatch, segons la configuració de la màquina.

Aquesta documentació descriu els mètodes de reforç de la seguretat habituals que poden dificultar el funcionament de Docker i com desactivar-los o adaptar-los si cal.

SELinux

L’activació de SELinux pot causar problemes en el funcionament de Docker.

Podeu desactivar SELinux afegint la línia següent al fitxer /etc/selinux/config:

SELINUX=disabled

Si SELinux ha d’estar activat, podeu configurar-ho tot de manera que no afecti Docker seguint la documentació següent: configurar SELinux amb Swarm

Paràmetres sysctl

La desactivació del paràmetre net.ipv4.ip_forward pot impedir que Docker reenviï el trànsit de xarxa cap als contenidors. En aquest cas, activeu el paràmetre net.ipv4.ip_forward modificant el fitxer /etc/sysctl.conf:

net.ipv4.ip_forward = 1

Execució a /var/lib/docker/

El directori /var/lib/docker/, directori per defecte dedicat a Docker, ha de tenir l’opció exec.

Per permetre l’execució en aquest directori, utilitzeu l’ordre:

mount -o remount,exec

Mòduls del nucli

Els mòduls del nucli següents s’han d’activar amb modprobe:

  • overlay
  • br_netfilter
  • vxlan

Podeu fer-ho amb les ordres següents:

cat <<EOL >> /etc/sysconfig/modules/prerequis_docker.modules
#!/bin/bash
modprobe overlay
modprobe br_netfilter
modprobe vxlan

exit 0
EOL

chmod +x /etc/sysconfig/modules/prerequis_docker.modules

Les ordres anteriors creen un fitxer /etc/sysconfig/modules/prerequis_docker.modules que conté els paràmetres necessaris i hi afegeixen permisos d’execució.

Firewalld

El servei firewalld també pot causar problemes de comunicació entre els contenidors, o entre els contenidors i Internet.

Per tant, es recomana aturar i desactivar el servei firewalld:

systemctl stop firewalld
systemctl disable firewalld

Actualitzacions del sistema

Recomanem que el sistema que allotja l’aplicació Cyberwatch tingui les últimes actualitzacions del sistema i de les aplicacions disponibles.

Això s’aplica especialment als sistemes reforçats, que potser fa temps que no s’han actualitzat.

Comprovacions

Hi ha diversos recursos que permeten comprovar la compatibilitat del nucli i de la seva configuració amb l’execució de contenidors: