10、Docker安全与镜像管理全解析

Docker安全与镜像管理全解析

1. 容器能力设置

在运行容器时，理想情况下应使用无任何权限的用户来运行容器，若有必要，仅添加运行容器所需的权限。

1.1 使用docker-compose设置

使用docker-compose时，可按如下方式设置：

version: “1.0”
services:
  my_service:
    …
    cap_drop:
      - ALL
    cap_add:
      - NET_ADMIN
      - SYS_ADMIN
    …

1.2 使用Kubernetes设置

在Kubernetes中，可在定义Pod的安全上下文中进行设置：

apiVersion: v1
kind: Pod
metadata:
  name: capabilities_k8s
spec:
  containers:
    - name: capabilities_k8s
      image: my_image
      securityContext:
        capabilities:
          drop:
            - ALL
          add:
            - NET_ADMIN
            - SYS_TIME

1.3 添加网络管理能力

有时需要添加管理和配置网络的能力，可使用 --c