主机安全配置之为容器创建一个单独分区

描述

所有 Docker 容器及其数据和元数据都存储在 /var/lib/docker 目录下。默认情况下，/var/lib/docker 目录将根据可用性挂载在 / 或者 /var 分区下。

安全出发点

Docker 依赖于 /var/lib/docker 作为默认目录，其存储所有 Docker 相关文件，包括镜像文件等。该目录下可能会被恶意写满，导致 Docker、甚至主机可能无法使用。因此，建议为存储 Docker 文件创建一个单独的分区（逻辑卷）。

审计方法

grep /var/lib/docker /etc/fstab

结果判定

应该返回 /var/lib/docker 挂载点的分区详细信息。

修复措施

新安装 Docker 时，为 /var/lib/docker 挂载点创建一个单独的分区。对于先前安装的系统，可以使用逻辑卷管理器（LVM）创建分区。

影响

无

默认值

默认情况下，/var/lib/docker 将根据可用性挂载在 / 或者 /var 分区。