컨테이너 격리가 Home Assistant의 리소스 액세스에 어떤 영향을 미치나요?

컨테이너 격리는 호스트 경계를 넘어 리소스에 접근하려면 명시적인 마운트, 장치 매핑, 네트워크 경로, 사용자 및 기능을 요구함으로써 Home Assistant의 리소스 접근을 제한합니다.

컨테이너는 /config라는 경로를 볼 수 있지만 호스트의 다른 모든 디렉터리는 인식하지 못할 수 있으며, 일반 IP 장치에는 연결되면서 멀티캐스트 서비스는 검색하지 못할 수 있습니다. USB 라디오, Bluetooth 어댑터, 직렬 포트, 낮은 번호의 포트, 호스트가 소유한 파일에는 각각 별도의 권한 확인이 필요합니다. 따라서 격리는 포함성을 높이지만, 필요한 각 리소스는 의도적으로 구성된 경계를 통과해야 합니다.

마운트는 내부에 존재하는 영구 파일을 정의합니다

컨테이너는 자체 파일 시스템 뷰를 가집니다. 바인드 마운트와 이름 있는 볼륨은 선택한 호스트 데이터를 노출하므로, 겉보기에는 유효한 컨테이너 경로가 빈 볼륨, 읽기 전용 마운트 또는 운영자가 예상한 것과 다른 호스트 디렉터리를 가리킬 수 있습니다.

Docker 배포 분석은 스토리지 구조를 백업 설계와 연결하며, 컨테이너 스토리지 매핑을 Home Assistant 구성이나 데이터베이스 동작을 진단하기 전에 확인해야 할 첫 번째 접근 계약으로 만듭니다.

영속성은 컨테이너 계층이 쓰기 가능한 것처럼 보이는지가 아니라 마운트된 소스에 따라 결정됩니다. 이전 실행 중에는 정상적으로 작동했더라도, 컨테이너를 다시 만들면 마운트되지 않은 변경 사항이 사라질 수 있습니다.

사용자 ID와 모드 비트는 마운트 전체에 계속 적용됩니다

호스트 커널은 마운트된 파일의 소유권과 권한을 평가합니다. 숫자로 지정된 컨테이너 사용자는 호스트 계정 이름과 다를 수 있으며, 이로 인해 읽기 실패, root 소유로 생성된 대체 파일 또는 한 이미지에서는 열리지만 다른 이미지에서는 열리지 않는 데이터베이스가 발생할 수 있습니다.

소유권 분석은 이름을 일치시키는 것만으로는 충분하지 않은 이유와 숫자 UID 및 GID 매핑이 경계를 넘어 공유되는 숫자 UID 및 GID 값에 따라 달라지는 이유를 설명합니다.

특권 모드로 실행하면 불일치가 가려질 수 있지만 파일을 훨씬 넘어서는 권한이 확대됩니다. 더 안전한 해결 방법은 소유권을 일치시키고 Home Assistant에 실제로 필요한 디렉터리와 작업만 허용하는 것입니다.

네트워크 모드는 검색과 연결 가능성을 제어합니다

브리지 네트워킹은 컨테이너에 격리된 인터페이스와 변환된 포트를 제공합니다. 호스트 네트워킹은 호스트 스택을 공유하므로 멀티캐스트 검색, 브로드캐스트 프로토콜 및 콜백을 간소화할 수 있지만 네트워크 분리를 줄이고 포트 충돌을 일으킬 수 있습니다.

호스트 모드를 피하는 방법을 다룬 Home Assistant 논의에서는 일부 환경에서 명시적인 라우팅이나 릴레이를 사용해 컨테이너 검색 경계를 다시 구축할 수 있음을 보여줍니다. 다만 모든 검색 프로토콜이 동일하게 작동하는 것은 아닙니다.

직접 IP 제어는 작동하지만 자동 검색이 실패한다면 멀티캐스트 또는 브로드캐스트 경계가 원인일 가능성이 높습니다. 두 가지 모두 실패한다면 검색 자체보다 라우팅, 방화벽, DNS 또는 주소 선택이 더 유력한 원인입니다.

Featured

ZimaCube 2 개인용 클라우드 홈 NAS

ZimaCube2

$799.00 - $2,499.00

Buy Now

장치와 커널 기능은 명시적으로 위임해야 합니다

USB 직렬 라디오, Bluetooth, GPIO, 하드웨어 가속 및 저수준 네트워크 작업은 호스트 장치 노드, 커널 드라이버, 그룹 및 기능에 의존합니다. 장치 경로를 매핑하는 것은 필요하지만, 권한이나 cgroup 정책이 접근을 거부하는 경우 충분하지 않을 수 있습니다.

Kubernetes 배포 사례는 오케스트레이션이 스토리지, 네트워킹 및 장치 제약을 추가하는 방식을 보여주며, 계층화된 격리 제약이 격리 계층이 추가될 때마다 늘어난다는 점을 설명합니다.

이 메커니즘은 하드웨어와 드라이버 장애에서 멈춥니다. 호스트 자체가 라디오나 장치를 사용할 수 없다면 컨테이너 권한을 변경하는 것은 원래 장애를 가릴 뿐입니다. 컨테이너 권한을 확대하기 전에 호스트 접근을 확인하세요.

호스트에서 프로세스까지 접근을 감사하세요

필요한 모든 경로, 포트, 멀티캐스트 도메인, 장치, UID, GID, 기능 및 종속 항목을 나열하세요. 각각에 대해 먼저 호스트 접근을 테스트한 다음 컨테이너 매핑을 검사하고, 실제 컨테이너 프로세스 ID로 다시 테스트하세요.

호스트와 브리지 간 트레이드오프는 Home Assistant의 호스트 및 브리지 네트워킹을 비교하며 네트워크 감사에서 고려해야 할 경계를 제시합니다.

구성 읽기 및 쓰기, 데이터베이스 영속성, 로컬 장치 제어, 검색, 재시작 및 백업 복원 테스트를 통과하는 가장 작은 권한 집합을 유지하세요. 앞선 테스트에서 누락된 경계임이 확인된 경우에만 마운트, 장치, 그룹 또는 기능을 하나씩 추가하세요.