26、Docker 容器安全防护策略全解析

Docker 容器安全防护策略全解析

在容器化技术广泛应用的今天，Docker 容器的安全问题愈发重要。本文将深入探讨 Docker 容器的安全防护策略，包括限制重启、文件系统、容器权限、资源使用等方面，以及如何利用 Linux 安全模块增强安全性。

限制容器重启

容器频繁死亡和重启会浪费大量系统时间和资源，甚至可能导致拒绝服务（DoS）攻击。为避免这种情况，可使用 on-failure 重启策略替代 always 策略。例如：

$ docker run -d --restart=on-failure:10 my-flaky-image

此命令使 Docker 最多重启容器 10 次。可通过以下命令查看当前重启次数：

$ docker inspect -f "{
  
  { .RestartCount }}" $(docker ps -lq)

此外，Docker 在重启容器时采用指数退避算法（首次等待 100ms，后续依次为 200ms、400ms 等），这有助于防止利用重启功能的 DoS 攻击。

限制文件系统写入

阻止攻击者向文件写入可防止多种攻击，使黑客的攻击难度增加。从 Docker 1.5 开始，可在 docker run 命令中使用 --read-only 标志，使容器的文件系统完全只读：