22、理解 Docker 的安全风险与益处

理解 Docker 的安全风险与益处

一、Docker 安全概述

Docker 是一种新型应用平台，高度重视安全性。你可以将现有应用打包为 Docker 镜像，在 Docker 容器中运行，无需更改代码即可获得显著的安全优势。例如，一个当前运行在 Windows Server 2003 上的 .NET 2.0 WebForms 应用程序，无需更改代码，就可以在基于 Windows Server Core 2016 的 Windows 容器中的 .NET 4.5 下愉快地运行，这相当于立即应用了 14 年的安全补丁。

Docker 的安全涵盖多个方面，具体如下：
1. 容器进程以主机上的未知用户身份运行，减少攻击者的攻击范围。
2. 可以对容器设置资源限制，防止其耗尽主机资源。
3. 优化镜像以减少应用的攻击面。
4. 扫描镜像的漏洞并进行数字签名以记录来源。
5. Docker swarm 对节点之间的通信和存储的机密信息进行加密。

二、理解容器安全

2.1 容器进程运行机制

在 Windows Server 容器中运行的应用程序进程实际上是在主机上运行的。如果在容器中运行多个 ASP.NET 应用程序，在主机的任务列表中会看到多个 w3wp.exe 进程。容器之间共享操作系统内核，这使得 Docker 容器非常高效，因为容器无需加载自己的内核，所以启动和关闭时间非常快，运行时资源开销也很小。

2.2 容器隔离性问题

容器内运行的软件可能存在安全漏洞，安全人员关心的一个重要问题是：容器之间的隔离性有多安全？如果 Docker 容器中的应用程