docker_practice/container_security/other_feature.md

10 lines
883 B
Markdown
Raw Normal View History

##其它内核安全特性
Capabilities是现代linux内核提供的诸多安全特性中的一个Docker可以利用现有的如TOMOYO, AppArmor, SELinux, GRSEC来增强安全性。
为什么Docker当前只启用capabilities,而不介入其他系统。
因为这样就可以有很多方法来加固Docker主机下面是一些例子。
* 可以在内核中加载GRSEC和PAX这会增加很多安全检查。
* 可以使用一些有增强安全特性的发行版的模板比如带apparmor的模板和redhat系列带selinux dcoker策略这些模板提供了额外的安全特性。
* 使用你自己喜欢的访问控制机制来定义你自己的安全策略。
像其他添加到docker容器的第三方工具一样比如网络拓扑和文件系统共享有很多这样的工具利用他们可以不用改变docker内核就可以加固现有的docker容器