Ekkert root
Líkanið vinnur sem réttindalaus notandi. Root er ekki til innan verksins.
LIBRE / WORK Vara / Work APACHE 2.0
Vinnusvæði sem þú getur falið líkani.
Work gefur líkaninu alvöru stað til að byggja á: skrár sem haldast, skipanir sem keyra, lifandi forskoðun á niðurstöðunni — inni í læstum gámi á þínum eigin vélbúnaði.
01 Kvittunin
Hvert verk keyrir undir þessum flöggum.
Þetta er ekki samantekt — þetta er herðingarsnið hvers Work-gáms. Stefnur geta stillt fjárheimildir; þær geta aldrei veikt þessar línur.
-
--user 1000:1000 -
--read-only -
--cap-drop ALL -
--security-opt no-new-privileges -
--pids-limit 256 -
--memory 2g --memory-swap 2g -
--cpus 2 -
--network none -
--mount …,dst=/workspace
Athugaðu sjálf(ur): keyrðu docker inspect á hvaða Work-gámi sem er.
Engar kerfisskriftir
Skráakerfið er skrifvarið. Aðeins vinnusvæði verksins tekur við breytingum.
Engin réttindahækkun
Öll Linux-capability eru felld niður og ný réttindi er ómögulegt að fá.
Engir lyklar, enginn sökkull
Engin auðkenni, API-lyklar eða gámavélarsökkull eru til í sandkassanum.
02 Lykkjan
Allt sem verk þarf. Ekkert sem það á ekki að ná til.
Líkanið vinnur með fast verkfærasett og hvert kall skráist í röð í aðgerðaskrá verksins.
- write_file
Skrár og git — lesa, skrifa, færa og leita í vinnusvæði sem lifir milli keyrslna, með staðbundinni stöðu, diff, greinum og commit-um.
- run_command
Skipanir og skjáhermir — keyrðu hvað sem er með takmörkuðum tíma, úttaki, minni og ferlum; opnaðu alvöru skjáhermi þegar þú vilt grípa inn í.
- start_preview
Lifandi forskoðun — verkið í vinnslu birtist á undirritaðri, umboðsþjónaðri slóð sem aldrei er birt á netinu þínu.
- web_search
Vefleit — í gegnum þitt eigið SearXNG-tilvik, þegar stjórnandi kveikir á henni.
03 Stjórntæki rekstraraðila
Stjórnendur ákveða hver fær hvað.
-
Nefndar stefnur stilla mynd og auðlindaheimildir á hvert verk — herðingarsniðið er ekki stefnureitur.
-
Work er aðeins fyrir stjórnendur þar til þú opnar það; vefleit, líkanasóknir og fulltrúar hafa sama rofa.
-
Aðgerðalaus verk stöðva sig sjálf og halda áfram þar sem frá var horfið — vinnusvæðið helst alltaf.
-
Docker beint úr kassanum, eða Kubernetes-Pod með diskakvóta á hvert verk. Sömu flögg í báðum tilvikum.
Einangrun sem þú getur skoðað.
Einn gámur: spjall, Work, veitendur og forskoðanir innifalin.