Docker实验（九）Docker安全讲解（对cpu，内存和交换分区进行资源限制）

一.Docker安全的相关概念

• Docker容器的安全性,很大程度上依赖于Linux系统自身,评估Docker的安全性时,主要考虑以下几个方面:
  （1）Linux内核的命名空间机制提供的容器隔离安全
  （2）Linux控制组机制对容器资源的控制能力安全。
  （3）Linux内核的能力机制所带来的操作权限安全
  （4）Docker程序(特别是服务端)本身的抗攻击性。
  （5）其他安全增强机制对容器安全性的影响。
• 命名空间隔离的安全
  （1）当docker run启动一个容器时,Docker将在后台为容器创建一个独立的命名空间。命名空间提供了最基础也最直接的隔离。
  （2）与虚拟机方式相比,通过Linux namespace来实现的隔离不是那么彻底。
  （3）容器只是运行在宿主机上的一种特殊的进程,那么多个容器之间使用的就还是同一个宿主机的操作系统内核。
  （4）在 Linux 内核中,有很多资源和对象是不能被 Namespace 化的,比如:时间。
• 控制组资源控制的安全
  （1）当docker run启动一个容器时,Docker将在后台为容器创建一个独立的控制组策略集合。
  （2）Linux Cgroups提供了很多有用的特性,确保各容器可以公平地分享主机的内存、CPU、磁盘IO等资源。
  （3）确保当发生在容器内的资源压力不会影响到本地主机系统和其他容器,它在防止拒绝服务攻击(DDoS)方面必不可少。
• 内核能力机制
  （1）能力机制(Capability)是Linux内核一个强大的特性,可以提供细粒度的权限访问控制。
  （2）大部分情况下,容器并不需要“真正的”root权限,容器只需要少数的能力即可。
  （3）默认情况下,Docker采用“白名单”机制,禁用“必需功能”之外的其他权限。
• Docker服务端防护
  （1）使用Docker容器的核心是Docker服务端,确保只有可信的用户才能访问到Docker服务。
  （2）将容器的root用户映射到本地主机上的非root用户,减轻容器和主机之间因权限提升而引起的安全问题。
  （3）允许Docker 服务端在非root权限下运行,利用安全可靠的子进程来代理执行需要特权权限的操作。这些子进程只允许在特定范围内进行操作。
• 其他安全特性
  （1）在内核中启用GRSEC和PAX,这将增加更多的编译和运行时的安全检查;并且通过地址随机化机制来避免恶意探测等。启用该特性不需要Docker进行任何配置。
  （2）使用一些有增强安全特性的容器模板。
  （3）用户可以自定义更加严格的访问控制机制来定制安全策略。
  （4）在文件系统挂载到容器内部时,可以通过配置只读模式来避免容器内的应用通过文件系统破坏外部环境,特别是一些系统运行状态相关的目录。
• 容器资源控制
  （1）Linux Cgroups 的全称是 Linux Control Group。它是限制一个进程组能够使用的资源上限,包括 CPU、内存、磁盘、网络带宽等等。对进程进行优先级设置、审计,以及将进程挂起和恢复等操作。
  （2）Linux Cgroups 给用户暴露出来的操作接口是文件系统。它以文件和目录的方式组织在操作系统的 /sys/fs/cgroup 路径下。执行此命令查看:mount -t cgroup
  （3）在 /sys/fs/cgroup 下面有很多诸如 cpuset、cpu、 memory 这样的子目录,也叫子系统。
  （4）在每个子系统下面,为每个容器创建一个控制组(即创建一
  个新目录)。
  （5）控制组下面的资源文件里填上什么值,就靠用户执行 docker run 时的参数指定。

二.系统基础安全实验

1.首先可以发现容器内的内存和虚拟机中的内存大小是一样的

[root@server1 ~]# docker run -it --name vm1 ubuntu
root@38ead985c8d6:/# ls
#容器内的内存大小
root@38ead985c8d6:/# free -m
root@38ead985c8d6:/# [root@server1 ~]# 
#虚拟机中的内存大小
[root@server1 ~]# free -m

2.发现容器进程只有6个namespace

[root@server1 ~]# docker inspect vm1 | grep Pid
[root@server1 ~]# cd /proc/
[root@server1 proc]# cd 1576/
[root@server1 1576]# cd ns/
[root@server1 ns]# ll

3.查看针对整个容器的资源控制的目录（cpu和内存）

#查看其cgroup服务的路径

[root@server1 ns]# mount -t cgroup

#依次查看cpu，内存和容器的目录下的文件

[root@server1 ns]# cd /sys/fs/cgroup/
[root@server1 cgroup]# ls
[root@server1 cgroup]# cd cpu
[root@server1 cpu]# ls
[root@server1 cpu]# cd ../memory/
[root@server1 memory]# ls
[root@server1 memory]# cd docker/
[root@server1 docker]# ls

4.当在memory目录下新建目录时直接会从上级目录继承

[root@server1 docker]# cd ..
[root@server1 memory]# ls
[root@server1 memory]# mkdir x1
[root@server1 memory]# ls