17、Docker安全技术全解析

Docker安全技术全解析

1. Docker安全概述

良好的安全措施讲究分层和深度防御，层数越多越好。幸运的是，Docker提供了众多安全层。它支持主要的Linux安全技术，还拥有自己的一些安全技术。

1.1 Docker的安全特性

• 利用Linux安全技术 ：包括命名空间、控制组、能力、强制访问控制（MAC）和seccomp等，并且为每个技术都提供了合理的默认配置，也允许根据具体需求进行定制。
• 自带安全技术 ：如Docker Scout和Docker Content Trust。Docker Scout提供领先的漏洞扫描功能，能扫描镜像、提供已知漏洞的详细报告并推荐解决方案；Docker Content Trust（DCT）可对镜像进行加密签名和验证。
• Docker Swarm安全 ：使用Docker Swarm时，Docker会自动配置一系列安全特性，如加密节点ID、相互认证（TLS）、自动CA配置和证书轮换、安全的集群加入令牌、加密的集群存储和加密网络等。

2. Linux安全技术在Docker中的应用

2.1 内核命名空间（Kernel Namespaces）

内核命名空间是构建容器的主要技术，它通过虚拟化操作系统的进程树和文件系统等结构来创建容器。与虚拟机相比，命名空间提供轻量级隔离，但安全边界相对较弱。

2.1.1 命名空间与虚拟机的对比