Docker入门之Docker安全

一 理解Docker安全

Docker容器的安全性，很大程度上依赖于Linux系统自身，评估Docker的安全性时，主要考虑以下几个方面： 

Linux内核的命名空间机制提供的容器隔离安全 

Linux控制组机制对容器资源的控制能力安全。 

Linux内核的能力机制所带来的操作权限安全 

Docker程序（特别是服务端）本身的抗攻击性。 

其他安全增强机制对容器安全性的影响

命名空间隔离的安全：

当docker run启动一个容器时，Docker将在后台为容器创建一个独立的命名空间。命名空间提供了最基础也最直接的隔离。

与虚拟机方式相比，通过Linux namespace来实现的隔离不是那么彻底。

容器只是运行在宿主机上的一种特殊的进程，那么多个容器之间使用的就还是同一个宿主机的操作系统内核

在 Linux 内核中，有很多资源和对象是不能被 Namespace 化的，比如：时间memory-swap设置swap交换分区限额。

内核能力机制：

能力机制（Capability）是Linux内核一个强大的特性，可以提供细粒度的权限访问控制。

大部分情况下，容器并不需要“真正的”root权限，容器只需要少数的能力即可。

默认情况下，Docker采用“白名单”机制，禁用“必需功能”之外的其他权限。

Docker服务端防护：

使用Docker容器的核心是Docker服务端，确保只有可信的用户才能访问到Docker服务。 

将容器的root用户映射到本地主机上的非root用户，减轻容器和主机之间因权限提升而引起的安全问题。

允许Docker 服务端在非root权限下运行，利用安全可靠的子进程来代理执行需要特权权限的操作。这些子进程只允许在特定范围内进行操作。

其他安全特性：

在内核中启用GRSEC和PAX，这将增加更多的编译和运行时的安全检查；并且通过地址随机化机制来避免恶意探测等。启用该特性不需要Docker进行任何配置。

使用一些有增强安全特性的容器模板。

用户可以自定义更加严格的访问控制机制来定制安全策略。

在文件系统挂载到容器内部时，可以通过配置只读模式来避免容器内的应用通过文件系统破坏外部环境，特别是一些系统运行状态相关的目录。

二 容器资源控制

Linux Cgroups 的全称是 Linux Control Group。

是限制一个进程组能够使用的资源上限，包括 CPU、内存、磁盘、网络带宽等等。

对进程进行优先级设置、审计，以及将进程挂起和恢复等操作。

[root@server1 ~]# docker run -d --name demo nginx
c77c7b63544c3a357d5f13f2bdc8b68b3678d8a31234ac170b814ab9d60c2124
[root@server1 ~]# docker inspect demo| grep Pid
            "Pid": 2842,
            "PidMode": "",
            "PidsLimit": null,
[root@server1 ~]# cd /proc/2842
[root@server1 2842]# ls
attr             cwd       map_files   oom_adj        schedstat  task
autogroup        environ   maps        oom_score      sessionid  timers
auxv             exe       mem         oom_score_adj  setgroups  uid_map
cgroup           fd        mountinfo   pagemap        smaps      wchan
clear_refs       fdinfo    mounts      patch_state    stack
cmdline          gid_map   mountstats  personality    stat
comm             io        net         projid_map     statm
coredump_filter  limits    ns          root           status
cpuset           loginuid  numa_maps   sched          syscall
[root@server1 2842]# cd ns/
[root@server1 ns]# ls
ipc  mnt  net  pid  user  uts
[root@server1 ns]# free -m
              total        used        free      shared  buff/cache   available
Mem:           1837         188        1125          16         524        1468
Swap:          2047           0        2047
[root@server1 ns]# docker run --help | grep mem
      --cpuset-mems string             MEMs in which to allow execution
      --kernel-memory bytes            Kernel memory limit
  -m, --memory bytes                   Memory limit
      --memory-reservation bytes       Memory soft limit
      --memory-swap bytes              Swap limit equal to memory plus
      --memory-swappiness int          Tune container memory swappiness (0
[root@server1 ns]# docker run --help | grep cpu
      --cpu-period int                 Limit CPU CFS (Completely Fair
      --cpu-qu