Docker 守护进程配置之不使用 aufs 存储驱动程序

描述

不要使用 'aufs' 作为 Docker 实例的存储驱动。

安全出发点

'aufs' 存储驱动程序是较旧的存储驱动程序。它是基于 Linux 内核的补丁集，不太可能合并到主要的 Linux 内核中
。'aufs' 在 Docker 中只是保留了历史遗留支持的，现在主要是使用 'overlay2' 和 'devicemapper' 。而且最
重要的是，在许多的使用最新的 Linux 内核的发行版中，'aufs' 已经不再被支持了。

审计方法

docker info | grep -e "^Storage Driver:\s*aufs\s*$"

结果判定

不应该返回任何东西。

修复措施

不要刻意的使用 'aufs' 作为存储驱动。
例如，不要使用以下命令启动 Docker 守护进程：
dockerd --storage-driver aufs

影响

'aufs' 是允许容器共享可执行文件和共享库内存的存储驱动程序。如果使用相同的程序或者库运行数千个容器，那么就
可以选用了。

默认值

Docker 在大多数平台上使用 'overlay2' 和 'devicemapper' 作为存储驱动程序。默认的存储驱动程序可能因操
作系统而异，所有首选的应该是操作系统对应的最佳支持的存储驱动程序为主。