在线观看不卡亚洲电影_亚洲妓女99综合网_91青青青亚洲娱乐在线观看_日韩无码高清综合久久

鍍金池/ 教程/ Linux/ 服務(wù)端的防護(hù)
利用數(shù)據(jù)卷容器來(lái)備份、恢復(fù)、遷移數(shù)據(jù)卷
Docker 網(wǎng)絡(luò)實(shí)現(xiàn)
實(shí)戰(zhàn) Django
YAML 模板文件
名字空間
控制組
編輯網(wǎng)絡(luò)配置文件
列出
進(jìn)入容器
Compose 命令說(shuō)明
創(chuàng)建 Tomcat/Weblogic 集群
守護(hù)態(tài)運(yùn)行
快速配置指南
其它安全特性
示例:創(chuàng)建一個(gè)點(diǎn)到點(diǎn)連接
CentOS 系列安裝 Docker
數(shù)據(jù)卷容器
鏡像
指令
創(chuàng)建鏡像
Docker 容器
創(chuàng)建鏡像
常用倉(cāng)庫(kù)
總結(jié)
什么是 Docker
存出和載入鏡像
使用
獲取鏡像
容器互聯(lián)
為什么要使用 Docker?
使用 Wordpress 入門(mén) Fig
啟動(dòng)
容器訪問(wèn)控制
私有倉(cāng)庫(kù)
使用
基本架構(gòu)
自定義網(wǎng)橋
環(huán)境變量參考
實(shí)戰(zhàn) Rail
服務(wù)端的防護(hù)
刪除
鏡像的實(shí)現(xiàn)原理
多臺(tái)物理主機(jī)之間的容器互聯(lián)
Docker 倉(cāng)庫(kù)
簡(jiǎn)介
數(shù)據(jù)卷
命令參考
使用 Supervisor 來(lái)管理進(jìn)程
移除
基本結(jié)構(gòu)
命令查詢(xún)
終止容器
聯(lián)合文件系統(tǒng)
安裝
簡(jiǎn)介
配置 DNS
內(nèi)核能力機(jī)制
導(dǎo)出和導(dǎo)入容器
配置 docker0 網(wǎng)橋
倉(cāng)庫(kù)配置文件
內(nèi)核名字空間
標(biāo)準(zhǔn)化開(kāi)發(fā)測(cè)試和生產(chǎn)環(huán)境
外部訪問(wèn)容器
fig.yml 參考
Ubuntu 系列安裝 Docker
有用資源
安裝
端口映射實(shí)現(xiàn)
安裝 Fig
工具和示例
簡(jiǎn)介
控制組
容器格式
Docker Hub

服務(wù)端的防護(hù)

運(yùn)行一個(gè)容器或應(yīng)用程序的核心是通過(guò) Docker 服務(wù)端。Docker 服務(wù)的運(yùn)行目前需要 root 權(quán)限,因此其安全性十分關(guān)鍵。

首先,確保只有可信的用戶(hù)才可以訪問(wèn) Docker 服務(wù)。Docker 允許用戶(hù)在主機(jī)和容器間共享文件夾,同時(shí)不需要限制容器的訪問(wèn)權(quán)限,這就容易讓容器突破資源限制。例如,惡意用戶(hù)啟動(dòng)容器的時(shí)候?qū)⒅鳈C(jī)的根目錄/映射到容器的 /host 目錄中,那么容器理論上就可以對(duì)主機(jī)的文件系統(tǒng)進(jìn)行任意修改了。這聽(tīng)起來(lái)很瘋狂?但是事實(shí)上幾乎所有虛擬化系統(tǒng)都允許類(lèi)似的資源共享,而沒(méi)法禁止用戶(hù)共享主機(jī)根文件系統(tǒng)到虛擬機(jī)系統(tǒng)。

這將會(huì)造成很?chē)?yán)重的安全后果。因此,當(dāng)提供容器創(chuàng)建服務(wù)時(shí)(例如通過(guò)一個(gè) web 服務(wù)器),要更加注意進(jìn)行參數(shù)的安全檢查,防止惡意的用戶(hù)用特定參數(shù)來(lái)創(chuàng)建一些破壞性的容器

為了加強(qiáng)對(duì)服務(wù)端的保護(hù),Docker 的 REST API(客戶(hù)端用來(lái)跟服務(wù)端通信)在 0.5.2 之后使用本地的 Unix 套接字機(jī)制替代了原先綁定在 127.0.0.1 上的 TCP 套接字,因?yàn)楹笳呷菀自馐芸缯灸_本攻擊?,F(xiàn)在用戶(hù)使用 Unix 權(quán)限檢查來(lái)加強(qiáng)套接字的訪問(wèn)安全。

用戶(hù)仍可以利用 HTTP 提供 REST API 訪問(wèn)。建議使用安全機(jī)制,確保只有可信的網(wǎng)絡(luò)或 VPN,或證書(shū)保護(hù)機(jī)制(例如受保護(hù)的 stunnel 和 ssl 認(rèn)證)下的訪問(wèn)可以進(jìn)行。此外,還可以使用 HTTPS 和證書(shū)來(lái)加強(qiáng)保護(hù)。

最近改進(jìn)的 Linux 名字空間機(jī)制將可以實(shí)現(xiàn)使用非 root 用戶(hù)來(lái)運(yùn)行全功能的容器。這將從根本上解決了容器和主機(jī)之間共享文件系統(tǒng)而引起的安全問(wèn)題。

終極目標(biāo)是改進(jìn) 2 個(gè)重要的安全特性:

  • 將容器的 root 用戶(hù)映射到本地主機(jī)上的非 root 用戶(hù),減輕容器和主機(jī)之間因權(quán)限提升而引起的安全問(wèn)題;
  • 允許 Docker 服務(wù)端在非 root 權(quán)限下運(yùn)行,利用安全可靠的子進(jìn)程來(lái)代理執(zhí)行需要特權(quán)權(quán)限的操作。這些子進(jìn)程將只允許在限定范圍內(nèi)進(jìn)行操作,例如僅僅負(fù)責(zé)虛擬網(wǎng)絡(luò)設(shè)定或文件系統(tǒng)管理、配置操作等。

最后,建議采用專(zhuān)用的服務(wù)器來(lái)運(yùn)行 Docker 和相關(guān)的管理服務(wù)(例如管理服務(wù)比如 ssh 監(jiān)控和進(jìn)程監(jiān)控、管理工具 nrpe、collectd 等)。其它的業(yè)務(wù)服務(wù)都放到容器中去運(yùn)行。

上一篇:基本架構(gòu)下一篇:簡(jiǎn)介