创建独立环境，以便在docker环境中从用户运行二进制文件。

Question

我想以一种安全的方式在我的云运行实例中处理用户提交的可执行文件(在linux环境下使用PyInstaller生成)。可执行文件还需要在同一个文件夹中处理，这些文件是通过我的云存储下载的。由于Cloud也在Docker环境中，所以在Docker中运行Docker看起来很麻烦，特别是如果涉及到Cloud，因为如果我没有弄错，就无法修改启动Cloud的Docker Run命令。在这种情况下调用其他云运行实例是不适用的，因为它可以服务于多个请求和多个用户提交的可执行文件，并且用户代码访问我的云运行服务的代码并修改云存储。我有一些关于替代方法的想法，请分享你对它们的想法。

1. 我可以以某种方式限制云运行服务对云存储的访问权限，限制对同一服务的并发调用，并在每次服务启动/重用时进行适当的清理。
2. 使用受限的私有程序调用二进制文件，如使用chroot、叉限制、看门狗(不确定这些是否足够安全)
3. 为脚本和输入文件创建某种孤立的环境，运行它并获得结果。(对于docker来说，这很容易，只需使用绑定，主机就可以提供输入文件并收集结果文件)

我对其他想法持开放态度，并对我的其他想法进行了详细的思考。

Answer 1

构建并测试每个提交。不是在云运行实例中，而是在一些构建系统中。你表达了对容器的偏爱，是的，它们对隔离很有意义。

应用程序收集源代码，生成生成配置，添加测试，并启动构建。可能的话，构建系统会将结果部署到某个地方以供进一步处理或使用。

也许是GCP云构建。具有相当可扩展的优点，并且可以提取GCP存储和容器工件。