ehlxr/docker_practice
1
0
Fork 0
mirror of https://github.com/yeasy/docker_practice.git synced 2025-10-13 02:31:37 +00:00
Code Issues Projects Releases Wiki Activity

express refine

Browse Source
This commit is contained in:
Baohua Yang
2014-09-11 22:52:28 +08:00
parent 1f5fb2d521
commit 1d101330fd
16 changed files with 122 additions and 96 deletions
Download Patch File Download Diff File Expand all files Collapse all files

4
container_security/kernel_capability.md
View File

@@ -8,10 +8,10 @@
这意味这大部分情况下，容器完全不需要“真正的”root权限。因此，容器可以运行一个减少的capabilities集，容器中的root也比“真正的root"拥有更少的capabilities,比如：
* 完全禁止任何mount操作
* 禁止直接访问宿主主机的socket
* 禁止直接访问宿主主机的socket
* 禁止访问一些文件系统的操作，比如创建新的设备node等等
* 禁止模块加载
* 还有一些其他的
就算攻击者在容器中取得了root权限，他能做的破坏也少了，也不能获得主机的更高权限。
然而这不会影响普通的web apps，恶意的用户会想各种办法来对你！默认情况下，docker丢弃了它需要的功能之外的其余部分。这里有一个白名单和黑名单，在 Linux manpages可以看到完整的清单列表。当然，你还可以启用你需要的额外capabilities。默认docker容器仅使用白名单的内capabilities。
然而这不会影响普通的web apps，恶意的用户会想各种办法来对你！默认情况下，docker丢弃了它需要的功能之外的其余部分。这里有一个白名单和黑名单，在 Linux manpages可以看到完整的清单列表。当然，你还可以启用你需要的额外capabilities。默认docker容器仅使用白名单的内capabilities。