V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
naoh1000
V2EX  ›  Docker

如何防止一个有漏洞的 Docker 容器影响其它容器?

  •  
  •   naoh1000 · 2020-12-05 10:45:05 +08:00 via iPhone · 1872 次点击
    这是一个创建于 1440 天前的主题,其中的信息可能已经有所发展或是发生改变。
    请问 user namespace 可以做到吗,大佬们还有什么好办法吗?
    第 1 条附言  ·  2020-12-05 11:58:08 +08:00
    说错了,应该是需要手动开的 userns-remap 。想要防止一个容器被注入导致主机 root 权限被获取或是主机上的其它容器更容易被注入。网络上找到了两种方法,一种是指定低权限用户运行,一种是 userns-remap 。请问哪种更安全,兼容性更好?指定低权限用户运行是否需要为每个容器单独创建用户起到更好隔离效果?谢谢大佬。
    5 条回复    2020-12-05 14:51:23 +08:00
    codehz
        1
    codehz  
       2020-12-05 11:12:22 +08:00 via Android
    你想说的是什么影响? user namespace 不是默认就有的吗
    内核 exploit 的话,rootless 的容器影响略微小一点点(
    naoh1000
        2
    naoh1000  
    OP
       2020-12-05 11:58:15 +08:00 via iPhone
    @codehz 说错了,应该是需要手动开的 userns-remap 。想要防止一个容器被注入导致主机 root 权限被获取或是主机上的其它容器更容易被注入。网络上找到了两种方法,一种是指定低权限用户运行,一种是 userns-remap 。请问哪种更安全,兼容性更好?指定低权限用户运行是否需要为每个容器单独创建用户起到更好隔离效果?谢谢大佬。
    codehz
        3
    codehz  
       2020-12-05 12:34:41 +08:00
    哪有什么更安全,都是骗自己。。要安全请上基于轻量级虚拟机的
    naoh1000
        4
    naoh1000  
    OP
       2020-12-05 13:53:22 +08:00 via iPhone
    @codehz 怎么相对减小被攻击的影响
    ericwood067
        5
    ericwood067  
       2020-12-05 14:51:23 +08:00
    记得之前 docker 以低权限用户运行会有其他问题,最近没关注了。我一般都是加上--cap-drop=ALL,userns-remap 也是个可行的选项,直接映射到一个不存在的用户上。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   4453 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 04:07 · PVG 12:07 · LAX 20:07 · JFK 23:07
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.