security - 我们如何锁定Docker终端

Question

我们有一个应用程序在docker机器中运行多个容器。要启动它，我们使用docker终端。但是，有权访问主机的任何人都可以运行docker计算机，启动和停止容器或加载新容器

我们如何锁定对docker终端的访问权限，以便只有授权用户才能运行命令

Answer 1

比那更糟。完全可以运行任何Docker命令的任何人都可以运行:

docker run -it -v /:/host -u root ubuntu sh

然后，它们将具有一个根级 shell ，可以不受限制地访问主机的文件系统。

没有(简单)的方法来进一步限制此限制。您无法安全地将Docker访问权限提供给共享系统上的不受信任用户。

一个典型的设置具有由root拥有的Docker套接字和一个专用的“docker”组，并且无法在世界范围内访问。如果您已经具有sudo访问权限的用户数量有限(或者您不介意是否将其授予自己)，则可以 sudo run docker，或者可以将其添加到“docker”组中，而其他用户则不会能够运行Docker命令;他们可以访问已经运行的容器中的服务。 (如果您已经更改了Docker守护程序的设置，使其可以侦听TCP套接字，则您可以向任何拥有该套接字的人授予对主机的根访问权限。)

在特定的Docker Machine案例中，它始终在TCP套接字上侦听，并且在主机外无法访问时，唯一可以限制其访问的方法是限制其TLS证书的分发。除了可能无法使用“更原生” Docker的开发系统之外，我可能不会在其他环境中使用它。