Docker在Linux上的安全性概览
在Linux上，Docker的安全性取决于内核隔离能力、权限控制与运维配置的综合效果。容器利用命名空间（PID、NET、MNT、UTS、IPC、USER）提供隔离，借助控制组（cgroups）限制CPU、内存、I/O等资源，默认还会丢弃不必要的Linux capabilities，降低容器内“root”的破坏半径。需要注意的是，容器与宿主机共享内核，隔离并非等同于虚拟机；若内核存在漏洞或被错误配置，仍可能引发逃逸与横向影响。因此，正确配置与持续加固是保障安全的关键。
主要风险与常见误区
- 特权容器与危险挂载：使用**–privileged或不当挂载（如将宿主机的/proc、/sys、/dev、/etc等敏感目录以读写方式挂载）会显著扩大攻击面，甚至接近宿主机root**能力。应严格避免此类配置。
- 内核与系统调用面：容器共享宿主机内核，内核漏洞可能导致提权/逃逸；默认seccomp会限制部分危险系统调用，但仍需结合场景评估与自定义策略。
- 镜像供应链风险：公共仓库镜像可能包含CVE或恶意后门。研究显示，社区与官方镜像均曾被发现存在较多漏洞，个别基础镜像还出现过root空密码等隐患，必须做镜像扫描与来源校验。
- 默认网络互通：同一宿主机上容器默认通过docker0网桥互通且缺少过滤，易受ARP欺骗、MAC泛洪等影响；默认**ICC（Inter-Container Communication）**为开启状态，需按需关闭或精细化策略。
- Docker守护进程与API暴露：dockerd通常以root运行，若API/套接字被非受信用户或网络访问，可能导致容器被滥用为提权跳板；应启用TLS认证、最小权限与访问控制。
关键加固清单
- 运行权限最小化：不使用**–privileged**；按需仅添加必要capabilities（如NET_BIND_SERVICE），或使用**–cap-drop ALL后逐一加回；尽量以非root**用户在容器内运行应用。
- 隔离与文件系统：启用用户命名空间（将容器内root映射为宿主机非特权UID）；根文件系统设为只读（–read-only），仅对必要目录做卷写入；不共享PID/主机网络/主机IPC命名空间（避免**–pid=host**等）。
- 网络分段与暴露面：同一主机容器间通信按需关闭或精细化策略（如**–icc=false并结合自定义网络/安全组）；仅暴露必要端口，避免将docker.sock**挂载进容器。
- 资源与稳定性：为容器设置内存（–memory）、CPU份额/配额与I/O上限，防止DoS；为关键目录与文件设置权限/属主，并配置auditd对**/var/lib/docker、/etc/docker、docker.service、docker.socket、docker-containerd、docker-runc**等进行审计。
- 镜像与供应链：启用Docker Content Trust（DOCKER_CONTENT_TRUST=1）确保镜像完整性与发布者可信；使用可信基础镜像、最小化安装、删除setuid/setgid、定期漏洞扫描与及时更新。
快速检查命令示例
- 查看容器是否以非root运行
- docker ps --format ‘{{.Names}}\t{{.User}}’
- 检查是否挂载了敏感目录或 docker.sock
- docker inspect --format=‘{{.Mounts}}’ <容器名> | grep -E ‘/proc|/sys|/dev|/etc|docker.sock’
- 查看是否禁用了容器间通信
- docker info | grep -i ‘icc’
- 查看内存限制是否生效
- docker inspect --format=‘{{.HostConfig.Memory}}’ <容器名>
- 启用内容信任
- export DOCKER_CONTENT_TRUST=1
以上要点可帮助你在Linux上将 Docker 的风险控制在可接受范围内：默认隔离+最小权限+纵深防御（capabilities、seccomp、AppArmor/SELinux、用户命名空间）+供应链与运行时审计，才能在生产环境中更稳妥地使用容器技术。
