docker安全（cgroups）

• Docker容器的安全性，很大程度上依赖于Linux系统自身，评估Docker的安全性时，主要考虑以下几个方面：
• Linux内核的命名空间机制提供的容器隔离安全
• Linux控制组机制对容器资源的控制能力安全
• Linux内核的能力机制所带来的操作权限安全
• Docker程序（特别是服务端）本身的抗攻击性
• 其他安全增强机制对容器安全性的影响
• 命名空间隔离的安全
• 当docker run启动一个容器时，Docker将在后台为容器创建一个独立的命名空间。命名空间提供了最基础也最直接的隔离。
• 与虚拟机方式相比，通过Linux namespace来实现的隔离不是那么彻底。
  容器里面的内存等信息和物理机上信息一样，从此处看，没有做格式的隔离，因为和宿主机保持一致，因为/proc没法做隔离，是内存里的数据
  
• 容器只是运行在宿主机上的一种特殊的进程，那么多个容器之间使用的就还是同一个宿主机的操作系统内核。
• 在 Linux 内核中，有很多资源和对象是不能被 Namespace 化的，比如：时间。
  docker容器只提供了六个最基本的namespace隔离
  
  
• 内核能力机制
• 能力机制（Capability）是Linux内核一个强大的特性，可以提供细粒度的权限访问控制。
• 大部分情况下，容器并不需要“真正的”root权限，容器只需要少数的能力即可。
• 默认情况下，Docker采用“白名单”机制，禁用“必需功能”之外的其他权限。
• Docker服务端防护
• 使用Docker容器的核心是Docker服务端，确保只有可信的用户才能访问到Docker服务。