docker - 将 --security-opt seccomp :filename. json 传递给 Docker 群中的容器

Question

我需要将自定义 seccomp 配置文件传递给在 Docker 群上运行的容器。它可以很容易地完成，并且可以使用 --security-opt 选项与独立容器一起正常工作。当您尝试将其传递给运行在 swarm 上的容器时，问题就出现了。 Docker compose file ver 3 文档明确指出 --security-opt 选项在 swarm 部署中被忽略:https://docs.docker.com/compose/compose-file/#security_opt

当部署在 swarm 上时，如何将自定义 seccomp 配置文件传递给容器或服务？还有其他方法可以更改容器的系统限制吗？ cap_add 和/或 cap_drop 不是一个选项。有任何想法吗？太感谢了!

Answer 1

目前在 Swarm 模式下没有执行此操作的选项。如果您有需要这些选项的容器，则需要在 Swarm 模式之外运行它们。

要跟踪添加此功能的进度:

• Moby/moby 问题 #25209(docker-ce 的上游):https://github.com/moby/moby/issues/25209
• Swarmkit 问题 #1030:https://github.com/docker/swarmkit/issues/1030
• 授权:https://github.com/moby/libentitlement

目标是让 libentitlement 提供一种简单的方法来调整功能、seccomp 和其他安全功能，并简化用户体验。这是先发生，还是 swarmkit 直接实现某些东西，取决于提交 PR 的人。