有容云：上车 | 听老司机谈Docker安全合规建设

编者注：

本文根据7月19日DockOne社群分享内容整理而成，分享嘉宾蒋运龙，有容云高级咨询顾问，一个IT的老兵，十年来混迹于存储、三网融合、多屏互动、智能穿戴、第三方支付、Docker等行业；经历过测试、运维、实施各岗位全方位的摧残，依然活跃在技术的风头浪尖上。之前分享过《老司机带路 | 使用Docker实现丝般顺滑的持续集成》，在线阅读可直接点击。

 

大家好，我是老蒋，今天和大家聊聊Docker的安全合规建设。

 

安全，这里我们指的是信息安全，包括数据安全和网络安全, 主要是数据在处理、传输、存储等过程中的安全，它包括了信息本身的安全和防护安全。

 

在安全方面，各行各业甚至国家、国际机构都有很严格的标准：

1.  归功于消费领域企业的不懈广告下， 大家应该都听过ISO9000（质量管理体系）SO14000（环境管理体系），在安全方面，国际标准化组织也有信息安全标准ISO27000，其中ISO 27001在其中具有核心作用，该标准发布于2005年，目前最新版为ISO27001:2013DIS版。

 

2.  国家在这方面也有信息安全等级保护要求，简称等保；它有五个等级，在很多行业等保有硬性要求，如互联网金融行业至少要符合第四级的等保要求。

3. 各个行业对安全也有专门的标准，如在支付行业，有内卡的非金融机构支付业务设施技术认证JR/T1022-2014，JR/T0213-2014和外卡的数据安全标准PCI_DSS v3.1

说了这么多，需要重点指出的是，各种标准的发布和修订基本上只考虑了虚拟化环境的技术标准。说到虚拟机，我在接触的很多正在使用或者正准备使用Docker的人总喜欢把容器和虚拟机比较，或者把容器就当中虚拟机在用，嘿！ 说的就是你，还在用Docker Commit 替代Dockerfile！ 还在用SSH连接容器！

 

我个人更喜欢把容器比喻成一种沙箱（Sandbox）：每个应用程序都有自己的存储空间；应用程序不能翻过自己的围墙去访问别的存储空间的内容；应用程序请求的数据都要通过权限检测，假如不符合条件的话，不会被放行。是不是似曾相识？其实我们的ISO应用就是这种方式执行的。

 

回归正题，事实上，目前行业标准当中所包含的各种准则针对虚拟化技术进行了调整，对于任何想要保护数据的企业来说都可以起到很大帮助作用。使用针对特定行业的标准进行合规审查，可以在很大程度上保证信息处于最佳安全实践的保障之下。安全的信息环境对于企业、客户和员工来说都是至关重要的。