Docker安全加固之--LXCFS

最新推荐文章于 2024-08-18 16:07:11 发布

Breeze_pi

最新推荐文章于 2024-08-18 16:07:11 发布

阅读量5.6k

点赞数 2

分类专栏： linux 文章标签： docker docker安全

本文链接：https://blog.csdn.net/weixin_42446031/article/details/91541436

版权

本文介绍了如何利用LXCFS增强Docker容器的隔离性和资源可见性，详细阐述了LXCFS的工作原理及安装步骤，并探讨了设置特权级运行容器的安全风险与加固策略，包括限制容器权限、使用非root用户运行容器以及对宿主机和镜像的安全加固措施。

摘要由CSDN通过智能技术生成

我们在上一章讲过了docker容器的安全，那么在这一章我们再来讲一下lxcfs来提供容器中的资源可见性。
lxcfs是一个开源的FUSE（用户态文件系统）实现来支持LXC容器。
LXCFS通过用户态文件系统，在容器中提供下列 procfs 的文件：

/proc/cpuinfo
/proc/diskstats
/proc/meminfo
/proc/stat
/proc/swaps
/proc/uptime

比如，把宿主机的 /var/lib/lxcfs/proc/memoinfo 文件挂载到Docker容器的/proc/meminfo位置后。容器中进程读取相应文件内容时，LXCFS的FUSE实现会从容器对应的Cgroup中读取正确的内存限制。从而使得应用获得正确的资源约束设定

一、利用LXCFS增强docker容器隔离性和资源可见性

在上一章我们做过容器的资源控制，不过我们也要注意到当我们查看系统资源的时候发现出现的数据并不是我们者之的那样，这样明显是不合理的。
1.安装LXCFS

[root@server1 ~]# ls
busybox.tar    distroless.tar  lxcfs-2.0.5-3.el7.centos.x86_64.rpm  ubuntu.tar
convoy         docker          nginx.tar
convoy.tar.gz  game2048.tar    rhel7.tar
[root@server1 ~]# yum install -y lxcfs-2.0.5-3.el7.centos.x86_64.rpm 
安装完lxcfs之后&