linux - 提取 Docker.io 镜像的根文件系统并在 chroot 中使用它是否安全？

Question

我最近发现了 Docker，我认为它是管理我的运行时环境的绝佳工具。但是，我也有一些不支持 LXC 的 OpenVZ VPS，所以我正在考虑使用 docker export 导出图像的文件系统，将生成的 tarball 解压缩到VPS，然后 chroot 到该目录并运行镜像中的服务。

这样做安全吗？ Docker对其镜像的文件系统做了哪些定制(我一眼就能看到根目录下有一个.dockerinit文件)？这种方法有什么技巧和缺陷吗？

Answer 1

主要风险是孤立。如果您的 OpenVZ 配置正确并保证隔离，您就可以开始了。

Docker 不对文件系统做任何修改。在运行时，它将自身挂载为 .dockerinit。我们使用它来在容器启动后设置用户/组和网络。

在未来的版本中，docker 将支持不同的隔离后端，如 libvirt 甚至 chroot。基础镜像不会改变，所以在 OpenVZ 上使用 docker 镜像没有问题。