24、Docker 安全风险与 CI/CD 管道搭建

Docker 安全风险与 CI/CD 管道搭建

1. Docker 安全风险与应对措施

1.1 节点与加入令牌

要切换到 Swarm 模式，可运行 docker swarm init 命令。该命令的输出会提供一个令牌，供其他节点加入 Swarm。工人节点和管理节点的令牌是分开的。没有令牌，节点无法加入 Swarm，因此需要像保护其他机密一样保护该令牌。

加入令牌由前缀、格式版本、根密钥的哈希值和一个加密强度高的随机字符串组成。Docker 使用固定的 SWMTKN 前缀，可通过自动化检查来查看令牌是否意外地在源代码或其他公共位置被共享。若令牌泄露，恶意节点可能在访问网络时加入 Swarm。Swarm 模式可使用特定网络进行节点通信，所以应使用非公共访问的网络。

可使用 join-token rotate 命令轮换加入令牌，该命令可针对工人令牌或管理令牌：

docker swarm join-token --rotate worker

输出示例：

Successfully rotated worker join token.
To add a worker to this swarm, run the following command:
  docker swarm join --token SWMTKN-1-0ngmvmnpz0twctlya5ifu3ajy3pv8420st... 10.211.55.7:2377
<