ubuntu-12.04 - 在禁用用户 namespace 的情况下运行docker是否存在已知的安全风险？

Question

我一直在使用DigitalOcean的Dokku镜像在Ubuntu中玩Docker。一切似乎都正常。仅检查docker的安装方式，我发现lxc-checkconfig报告User namespace: Disabled。

This tutorial解释这是因为内核没有使用CONFIG_USER_NS=y进行编译，因此可以通过重新编译来实现。

由于一切正常，我想知道是否存在关于此用户 namespace 的某些东西，例如，安全性好处。

那么，为什么通过启用用户命名空间来添加功能？如果我禁用它，会有哪些风险或已知问题？

Answer 1

从0.7.3版本开始，Docker尚未使用用户 namespace 。因此，从安全 Angular 来看，启用它不会改变任何内容。

一旦用户 namespace 代码(和相关的用户空间工具)稳定下来，Docker将使用它来提供额外的安全性。

如您所引用的doc所示，用户 namespace 将允许“包含容器根用户”。这意味着容器内的root用户不一定要映射到容器外(即主机上)的root用户。这样，进程可以在容器中作为根运行，但是实际上可以映射到外部的普通(非特权)用户。

将来，用户 namespace 还可能允许启动容器，而无需主机上的root特权。但是需要一段时间，因为容器设置中的许多步骤都需要这些特权(例如，设置网络)。