Re: pip et mise à jour de sécurité

Page principale

Répondre à ce message
Auteur: Patrice Karatchentzeff
Date:  
À: Jérôme Kieffer
CC: GUILDE
Sujet: Re: pip et mise à jour de sécurité
Salut Jérôme,

Merci de ton retour.

Je n'avais qu'une crainte, c'est qu'on me parle de docker : c'est fait :)

Pour moi, Docker va exactement dans le même sens que mes problèmes,
avec beaucoup plus de dépendances en plus !!! J'ai l'impression que
conda va dans le même sens...

Pour la portabilité d'un paquet, tu parles de changer de distrib ou de
version de distrb ? Parce que, de toute façon, ça passe par une qualif
en pré-prod avant, donc pas un souci à ce stade. Je parle vraiment de
pouvoir suivre la sécu de ce qui est installé en prod, sans « trop se
prendre la tête » (c'est-à-dire, cas idéal, le rétroportage des
patches de sécu de l'équipe sécu de Debian).

PK

Le ven. 3 juin 2022 à 08:31, Jérôme Kieffer
<jerome.kieffer@???> a écrit :
>
> Salut,
>
> Je suis dev' python depuis 10 ans et l'ecosystem de packaging de python
> s'est grandement amélioré depuis... par contre c'est vrai que c'est
> redondant avec le packaging systeme et que cela reste une "moving target":
> par exemple avec la PEP517-518 qui déprécie l'usage de setuptools, tout
> notre systeme de compilation va s'effondrer d'ici à python 3.12 et il
> va falloir tout refaire mais on a pas encore les outils pour le faire.
> Stressant un peu pour nous deroutant pour beaucoup: je comprends ton point de vue.
>
> 1. je suis tout a fait d'accord avec toi que le top pour une mise en
> prod' de code, c'est les paquets systeme (deb, rpm). Tu déploies et ca
> marche, par contre personne ne fait de paquets (troll inside). Un autre
> probleme c'est que les paquets ne sont pas portables d'une distrib à
> l'autre.
>
> 2. en tant que dev', je suis content de pouvoir avoir plusieurs
> environnement distincts pour tester, donc oui pip et venv, j'utilise
> tout le temps pour mon travail, mais je respecte mes utilisateurs en ne
> leur imposant pas "ma methode de travail".
>
> 3. la limite de pip et des venv se rencontre quand on veut plusieurs
> python installés (on supporte 3.6 - 3.10) ou alors qu'on veut changer
> les librairies systeme. C'est là qu'entre conda en jeu: des
> environnement virtuels mais version "lourd" 5G/environnement.
> Un point positif, il y a du packaging automatique dans conda-forge:
> j'ai taggué une release hier et ce matin, j'ai la PR de prete pour
> inclusion dans la distrib. Ca tombe bien, j'en ai besoin la semaine
> prochaine. Pas forcément possible avec Debian.
> https://github.com/conda-forge/fabio-feedstock/pull/44
>
> 4. Comme les sysadmin veulent avoir le même environnement sur les
> systemes centos, ubuntu et debian, il préfèreraient qu'on leur
> fournisse des image docker (ou singularity dans mon cas precis)
>
> En conclusion, tu avais un dilemme à 2 choix, maintenant tu en as 4. Désolé.
>
> Bon Trolldi
>
> Jérôme
>
> On Fri, 3 Jun 2022 07:38:06 +0200
> Patrice Karatchentzeff <patrice.karatchentzeff@???> wrote:
>
> > Salut,
> >
> > De plus en plus de projets sont gérés à base de pip (ou nm) pour la
> > facilité que cela occasionne aux développeurs. Je comprends
> > parfaitement leur point de vue... Je ne cherche pas à introduire un
> > débat sur l'éco-système ^Wbord^Wde mer^W de Python :)
> >
> > Cependant, d'un point de vue système, et donc déploiement en prod,
> > c'est très largement discutable.
> >
> > Je n'ai pas trouvé de solution qui satisfasse les deux mondes.
> >
> > Est-ce que quelqu'un a une idée ou une expérience à partager ?
> >
> > Merci de vos retours,
> >
> > PK
> >
> > --
> >       |\      _,,,---,,_           Patrice KARATCHENTZEFF
> > ZZZzz /,`.-'`'    -.  ;-;;,_   mailto:patrice.karatchentzeff@gmail.com
> >      |,4-  ) )-,_. ,\ (  `'-'
> >     '---''(_/--'  `-'\_)

> >
>



-- 
      |\      _,,,---,,_           Patrice KARATCHENTZEFF
ZZZzz /,`.-'`'    -.  ;-;;,_   mailto:patrice.karatchentzeff@gmail.com
     |,4-  ) )-,_. ,\ (  `'-'
    '---''(_/--'  `-'\_)