30、Docker安全与生产实践

Docker安全与生产实践

1. 后续探索与实践

如果你想基于某个应用进行开发，了解应用平台即服务（aPaaS）如何促进迭代式开发，可以从Git仓库中派生项目，在派生的仓库中修改代码，然后创建新的应用。示例仓库： https://github.com/docker-in-practice/nodejs-ex 。若想了解更多关于OpenShift的信息，可访问 http://www.openshift.org 。

2. 使用安全选项

2.1 问题与解决方案

默认情况下，Docker容器中会以root用户运行，且该root用户与宿主机的root用户相同。为缓解此问题，可降低该用户的root权限，使即使容器逃逸，内核仍会限制其部分操作。还可通过Docker的安全选项标志，保护宿主机资源不受容器内操作的影响，约束容器仅能影响宿主机授予其权限的资源。

若要保护宿主机免受容器操作的影响，可使用内核支持的强制访问控制（MAC）工具，这里以SELinux为例。SELinux是行业标准，常用于对安全要求较高的组织，最初由美国国家安全局（NSA）开发用于保护其系统，后开源，在基于Red Hat的系统中是标准配置。

2.2 MAC工具简介

Linux中的强制访问控制（MAC）工具可实施比常规规则更严格的安全规则。它不仅强制实施文件和进程的读写执行规则，还能在内核层面对进程应用