La manière la plus simple et la plus évolutive d'isoler ImageMagick dans une VM ou un conteneur.

Les conteneurs en général

Un conteneur Docker ou KVM se comporte comme un système réel. Vous pouvez même entrer dans un conteneur et y apporter des modifications, sans problème. Travaillez avec le bash, installez des paquets, etc. (juste au cas où vous auriez oublié quelque chose ou voudriez vérifier quelque chose).

L'avantage d'un conteneur est qu'il est beaucoup plus facile à mettre à niveau et à reconstruire. Avec votre propre registre docker, vous pouvez même avoir des versions portant des noms différents les unes à côté des autres.

Stocker les données de l'utilisateur dans un conteneur supplémentaire

Je suggérerais de stocker les données dans un conteneur de données attaché au conteneur docker. Cela éviterait que le conteneur ait des points de montage qui aboutissent sur un dossier de votre serveur réel. Au lieu de cela, utilisez un conteneur de données et attachez/détachez le conteneur de données, lorsque vous reconstruisez le conteneur docker ImageMagick et rattachez le conteneur de données à celui-ci à tout moment. Aucune donnée n'est perdue, mais vous avez tous vos fichiers dans un conteneur qui peut également être déplacé assez facilement.

A propos de la sécurité

Comme mentionné ci-dessus, un conteneur se comporte comme un système réel, il peut donc être piraté comme un système réel. Cela signifie que votre attaquant peut toujours mettre la main sur les données des clients et obtenir un accès root à cette machine. Sortir d'un conteneur Docker n'est pas si facile mais peut être possible, en raison de l'absence de correctifs, etc. J'ai moi-même une astuce simple que j'utilise pour rendre les choses plus difficiles pour un attaquant. Je reconstruis simplement le conteneur par crontab toutes les quelques heures/jour. Ainsi, si un attaquant obtient un accès, il devra tout recommencer quelques heures/jours plus tard.

Essayez également d'y attacher un conteneur nginx, afin qu'ImageMagick soit déclenché par un proxy inverse au lieu de donner accès à ImageMagick lui-même. Il est facile de construire une chaîne de production de conteneurs nginx --> Imagemagick --> conteneur de données

Vous vous retrouveriez donc avec 2 ou 3 conteneurs qui s'enchaînent pour former une chaîne de production isolée.

Hth,

Jens

P.S. : Pour entrer dans les détails, il vous faudrait plus de connaissances sur Docker. Mais la méthode que vous avez suggérée est la bonne à mon avis.

P.P.S. : Vous pouvez aussi rester à l'ancienne et utiliser simplement un environnement chroot. Mais plus difficile à mettre en place, plus difficile à maintenir, situé sur votre serveur lui-même.

Vous pouvez utiliser un conteneur qui redimensionne toutes les images situées dans le dossier monté. Vous devez effectuer des changements de glissement dans le fichier Docker et construire l'image Docker.

FROM ubuntu:16.04

RUN apt-get update
RUN apt-get install -y imagemagick

VOLUME ["/my-images"]
WORKDIR /my-images

CMD ["magick", "-help"]

Construire l'image Docker.

docker build -t my-imagemagick .

Exécutez le conteneur docker et redimensionnez les images situées dans le dossier /my-images en une seule fois.

docker run --rm -v "$( pwd ):/my-images" my-imagemagick find -type f -iname '*.jpg' -o -iname '*.jpeg' -exec convert {} -verbose -resize "500x500>" {} \;

Vous pouvez également exécuter la commande comme cronjob pour le planifier. POUR permettre à plusieurs utilisateurs sur votre système d'exécuter cette commande. Vous devez ajouter des utilisateurs dans le groupe docker.