Docker容器安全

Linux内核中的Capabilities特性用于划分特权集，以便进程可以只分配“执行特定功能”的特权

在引入此特性前，如果进程需要使用网络，则必须使用root来运行，通常是sudo或者添加suid，那么普通用户在使用ping时，ping就可以运行任何特权功能。引入Capabilities特性后，可以通过给ping应用添加NET_RAW特权集，使其具有使用网络的特权集，而不具备其他特权集。缺省ping具有cap_net_admin和cap_net_raw特权集，通过getcat命令查看，如图：

可通过查看进程状态，来获取当前进程的特权集，如图：

通过capsh来解码得到具体的特权集，如下：

[root@db ~]# capsh --decode=00000000a80425fb
0x00000000a80425fb=cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_net_bind_service,cap_net_raw,cap_sys_chroot,cap_mknod,cap_audit_write,cap_setfcap

Docker也是支持capabilities的，在运行容器的时候如果指定了–privileged参数将会开启容器的所有CAP，如果不使用–privileged，那么可以通过–cap-add和–cap-drop这两个参数来调整，常用特权集如下：

演示

首先运行一个busybox容器，然后查看其特权集，如图：

通过capsh来解码，可以得到默认的14个特权集，如下：

[root@localhost ~]# capsh --decode=00000000a80425fb
0x00000000a80425fb=cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_net_bind_serv

1、进入容器中，执行ping命令，看是否可以执行，如图：

从上图看出，默认情况下容器中可以执行ping命令的

2、重新创建容器，将进程可执行ping的capabilities取消，如图：

从上图看出，通过--cat-drop=net_raw命令即可取消ping权限

3、下面给busybox容器中进程添加一个可修改系统时间的capabilities，首先运行容器，然后进入容器中修改时间，如图：

从上图看出，修改时间提示没有权限，接下来重新创建容器并添加capabilities，如图：