Update node-exporter to v1.11.1, fcct to butane

2026-08-10 16:37:34 +00:00 · 2026-04-25 14:58:40 +00:00
parent 7d2ab6cd28
commit 73d230f3b7
19 changed files with 8 additions and 28 deletions
@@ -9,14 +9,12 @@
 在默认情况下，即便一个容器是在以 `root` 用户运行，Docker 也只为其内核授予了所有可用能力中的 **一小部分“白名单”能力**。

 常见的 Linux Capabilities 包含：
-
 - `CAP_CHOWN`: 修改文件所有者。
 - `CAP_NET_BIND_SERVICE`: 绑定特权端口（即 1024 以下的端口）。
 - `CAP_NET_ADMIN`: 网络管理的最高权限（例如调整路由配置，设置防火墙规则等）。
 - `CAP_SYS_ADMIN`: 被誉为“Linux 内核的特权网管”，允许各种高危操作（挂载磁盘、访问敏感设备等）。

 为了在 **“最小特权原则”** 的指导下加强安全，Docker 默认 **移除了** 大量可能导致容器大范围破坏宿主机的能力，例如：
-
 * 完全禁止了任何通过 `CAP_SYS_ADMIN` 进行的核心挂载或设备操作。
 * 禁止修改内核模块。
 * 禁止直接访问硬件套接字。