docker - 在 docker 临时镜像中运行静态构建时的安全性？

Question

我目前正在评估不同的选项来减小图像大小。除了 alpine 之外，还可以选择使用多阶段 docker 构建在暂存镜像中运行静态构建，大多数人称之为安全(我同意攻击面)。但是由于不涉及用户管理等，这是否意味着以与执行它的 docker 守护程序相同的权限运行二进制文件？这里的安全点在哪里？

Answer 1

您仍然可以为来自 SCRATCH 的图像定义用户。通过使用 USER Dockerfile 中的命令或启动容器时 ( --user= )。最安全的选项是由 USER 指定的非 root 用户。 Dockerfile 中的命令 - 这将是默认容器选项。如果容器需要root用户，那么你可以使用user namespaces ，所以容器中不会使用真正的根。

BTW:非 root 用户的典型问题是低端口绑定(bind)，但您可以绑定(bind)高端口或使用 --cap-add net_bind_service/--sysctl net.ipv4.ip_unprivileged_port_start=0 (内核 4.11+)。