本文探讨了Docker容器的安全性，特别是在面临fork炸弹威胁时的解决方案。通过设置--pids-limit启动选项限制cgroup中进程的最大数量，可以防止fork炸弹耗尽宿主机资源。此外，文章还讨论了Docker的安全机制，包括Docker daemon安全、镜像安全、内核安全、容器间的网络安全以及Capability限制，并列举了Docker面临的安全问题，如磁盘资源限制、容器逃逸、DoS攻击和超级权限问题。最后，提出了SELinux、user namespace、磁盘限额、容器流量限制和GRSecurity等安全增强措施。
博客搬家，原地址：https://langzi989.github.io/2016/12/29/docker防止fork炸弹/
在开发过程中，我们使用了docker作为容器来进行编程语言代码的评测，以用于防止有害代码破坏宿主物理机器，但是在昨天发现docker还是会受fork炸弹的影响将宿主物理机器挂掉。针对这个问题，我在docker官网找到了相关的解决方法，记录分享并以备之后再次遇到此类问题可以很快找到解决方案。
当前解决方案只适用于docker1.1版本及之后(通过docker.io进行安装,sudo apt install docker.io)。
解决方案的思想就是:在启动docker的时候给其加上启动选项–pids-limit来限制cgroup中的fork的进程的最大数，我这里限制的30,可以根据自己的需求去限制。
docker run -it --pids-limit 30 Ubuntu:14.04
上述方法即可防止fork炸弹。
以下内容转载自http://blog.csdn.net/thinkhy/article/details/50995720
最低0.47元/天 解锁文章
4752
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
