主机安全配置之只有受信任的用户才能控制 Docker 守护进程

描述

Docker 守护进程需要 'root' 权限。对于添加到 'docker' 组的用户被提供了拥有完整的 'root' 访问权限。

安全出发点

Docker 允许在 Docker 主机和访客容器之间共享目录，而不会限制容器的访问权限。这意味着可以启动容器并将主机上的 / 目录映射到容器。容器能够不受任何限制地更改主机文件系统。简而言之，这意味着只需作为 'docker' 组的成员即可获得较高的权限，然后在主机上启动具有映射 / 目录的容器。

审计方法

在 Docker 主机上执行以下命令，并确保只有可信用户是 docker 组的成员。

getent group docker

结果判定

判断是否必须要加入 docker 组的用户

修复措施

从 'docker' 组中删除任何不受信任的用户。另外，请勿在主机上创建敏感目录到容器卷的映射。

影响

作为普通用户构建和执行容器的权限将受到限制

默认值

不适用