12、Docker 容器安全：Seccomp、AppArmor 及相关工具使用指南

Docker 容器安全：Seccomp、AppArmor 及相关工具使用指南

1. Docker Seccomp 简介

Docker Seccomp 配置文件采用白名单机制，只有白名单中的系统调用（syscalls）才会被允许执行。以下是一个示例，创建一个空的系统调用白名单配置文件 deny_sys_calls.json ，这意味着所有系统调用都将被阻止：

$ touch deny_sys_calls.json

{
    "defaultAction": "SCMP_ACT_ALLOW",
    "architectures": [
        "SCMP_ARCH_X86_64",
        "SCMP_ARCH_X86",
        "SCMP_ARCH_X32"
    ],
    "syscalls": []
}

由于白名单中没有系统调用，使用此配置文件启动的容器将不允许执行任何系统调用。

为了单独测试 Seccomp 配置文件的效果，需要添加所有权限并禁用 AppArmor，以排除其他安全技术的干扰：

$ docker run --rm -it --cap-add ALL --security-opt apparmor=unconfined --security-opt seccomp=deny_sys_calls.json alpine sh