27、Docker 容器安全：从权限管理到远程访问保护

Docker 容器安全：从权限管理到远程访问保护

1. Linux 内核权限管理与 Docker 容器

Linux 内核 2.2 引入了能力（capabilities）特性，它对 root 用户可执行的所有特权操作进行了分类。例如， cap_chown 能力允许用户执行 chown 操作，用于更改文件的用户 ID（uid）和/或组 ID（gid）。所有这些能力都可以独立地在 root 用户上启用或禁用，这使得我们可以以 root 用户身份启动 Docker 容器，但限制其特权。

操作步骤如下：
1. 使用已发布到 Docker Hub 的 prabath/insecure-sts-ch10:v1 镜像启动 Docker 容器：

docker run --name insecure-sts prabath/insecure-sts-ch10:v1

2. 从另一个终端连接到运行中的容器文件系统，查看运行容器的用户的 uid 和 gid：

docker exec -it insecure-sts sh
id

输出结果应为：

uid=0(root) gid=0(root)

3. 由于 Alpine Linux 默认发行版中没有