27、Docker 安全与最佳实践指南

Docker 安全与最佳实践指南

1. Docker 命令与安全基础

1.1 容器卷的读写权限

在使用 Docker 运行 MySQL 等应用时，需要创建三个独立的卷并以读写模式挂载。若不添加这些卷，MySQL 将无法启动，因为它需要在 /var/run/mysqld 创建套接字文件、在 /tmp 创建临时文件，以及在 /var/lib/mysql 存储数据库。若尝试在容器内其他位置写入文件，会因文件系统为只读而失败，例如：

$ docker container exec mysql touch /trying_to_write_a_file

该命令会返回错误信息：

touch: cannot touch '/trying_to_write_a_file': Read-only file system

通过设置卷的读写权限，可以控制容器的写入位置，增强安全性。同时，也可以将单一卷或多个卷设置为只读，例如：

$ docker container run -d -v /local/path/to/html/:/var/www/html/:ro nginx

此命令将 Docker 主机上的 /local/path/to/html/