28、Docker安全与工作流全解析

Docker安全与工作流全解析

1. Docker安全基础

在运行容器时，安全是一个至关重要的考虑因素。与传统虚拟机不同，容器的运行方式有其独特的安全需求。我们可以通过一些方法来保障Docker主机的安全，例如使用只读容器，这样可以最大程度减少入侵者在运行容器内造成的潜在损害。但并非所有应用都适合在只读容器中运行，因此我们还需要跟踪自容器启动以来对镜像所做的更改，这在排查问题时非常有用。

此外，互联网安全中心（CIS）为Docker提供了一系列指南，这些指南有助于我们设置Docker环境的多个方面。而Docker Bench Security则是一个很好的工具，它可以帮助我们了解Docker主机与CIS Docker基准的符合程度。运行该工具时，它会涵盖以下七个方面：
- 主机配置
- Docker守护进程配置
- Docker守护进程配置文件
- 容器镜像和构建文件
- 容器运行时
- Docker安全操作
- Docker Swarm配置

2. 第三方安全服务

为了进一步保障Docker镜像的安全，我们可以借助一些第三方安全服务。

2.1 Quay

Quay是Red Hat提供的一个镜像注册表，类似于Docker Hub/Registry。不同的是，Quay会在每次推送或构建镜像后对其进行安全扫描。我们可以通过查看所选镜像的仓库标签来查看扫描结果，其中有一个“Security Scan”列。如果扫描通过，点击“Passed”可以查看镜像内检测到的任何漏洞的详细信息。点击左侧菜单中的“Packages”图标，还可以查看扫描发现的软件包列表，包