Docker的–privileged=true選項
Docker在創(chuàng)建和運行容器時，提供了許多命令行參數(shù)來自定義容器的行為。其中之一就是--privileged=true選項。此選項提供了對主機系統(tǒng)資源更深層次的訪問權限。本文將詳細解析這個選項，并探索它的用途和可能帶來的風險。
1. Docker 容器的安全性
1.1 Linux Namespace 和 Capabilities
在理解--privileged=true選項之前，首先需要了解Docker容器的安全模型。Docker使用Linux namespace和capabilities來實現(xiàn)容器隔離和限制權限1。
-
Linux Namespace：Docker利用namespace技術，使得每個容器都有其自己的進程、網(wǎng)絡、掛載、用戶ID等獨立的空間2。這保證了容器與容器之間以及容器與主機之間的隔離性。
-
Capabilities：Linux capabilities允許將傳統(tǒng)的root權限分割成多個不同的能力，例如CAP_NET_ADMIN能力允許操作網(wǎng)絡配置，CAP_CHOWN能力允許改變文件所有權3。Docker默認情況下會賦予容器一些必要的capabilities，但不包括全部的能力，從而降低了被攻擊的風險。
docker run --cap-add=SYS_PTRACE --rm -it ubuntu
Docker 通過 --cap-add 和 --cap-drop 兩個參數(shù)，可以靈活地添加或刪除容器的 capabilities。
上面--cap-add=SYS_PTRACE的意思就是：給容器添加 SYS_PTRACE 權限，允許容器內的進程可以 ptrace 和 debug 其他進程。
1.2 限制和權限
在默認情況下，Docker對容器的權限進行了嚴格的限制，只提供了有限的capabilities。此外，許多系統(tǒng)級別的操作（例如掛載文件系統(tǒng)、修改內核參數(shù)等）都是被禁止的。這種安全模型使得Docker可以在不犧牲安全性的前提下，實現(xiàn)輕量級的虛擬化。
然而，在某些情況下，我們可能需要賦予容器更多的權限。例如，如果我們需要在容器中運行一些需要特權的服務（如網(wǎng)絡設備管理、硬件設備接口等），那么默認的權限可能就不夠用了。這時候，--privileged=true選項就派上了用場。
2. Docker的–privileged=true選項
2.1 --privileged=true的作用
當使用--privileged=true選項運行容器時，Docker會賦予容器幾乎與主機相同的權限4。具體來說，這個選項做了以下兩件事情：
- 給容器添加了所有的capabilities
- 允許容器訪問主機的所有設備
docker run --privileged=true -it ubuntu
這意味著在一個privileged容器中，我們可以做很多平時不能做的事情，例如加載內核模塊、直接操作硬件設備等。
2.2 --privileged=true的風險
盡管--privileged=true選項為容器提供了強大的功能，但它也帶來了一些嚴重的安全隱患。由于privileged容器具有幾乎與主機相同的權限，所以如果容器被惡意代碼控制，那么攻擊者就可以輕易地突破容器的邊界，對主機進行任意操作5。
因此，我們需要謹慎地使用--privileged=true選項，只在真正需要的情況下才啟用它。在可能的情況下，我們應該盡量使用其他更細粒度的權限控制手段，例如通過--cap-add或--device參數(shù)來分別添加必要的capabilities或設備訪問權限。
# 添加單個capability
docker run --cap-add=NET_ADMIN -it ubuntu
# 添加設備訪問權限
docker run --device=/dev/sda:/dev/xvdc -it ubuntu
3. 結論
Docker的--privileged=true選項提供了強大的功能，使得我們可以在容器中執(zhí)行一些需要特權的操作。然而，這個選項也帶來了嚴重的安全隱患，可能導致容器突破邊界，對主機進行任意操作。因此，我們需要謹慎地使用這個選項，只在必要的情況下才啟用它，并盡量使用其他更細粒度的權限控制手段。
參考鏈接：
- Docker Documentation
- Linux Kernel Documentation
- Linux man page for Capabilities
- Trend Micro Research
-
Docker Security | Docker Documentation ??
-
Namespaces overview | Linux Kernel Documentation ??
-
Capabilities | Linux man page ??
-
Runtime privilege and Linux capabilities | Docker Documentation ??文章來源：http://www.zghlxwxcb.cn/news/detail-713333.html
-
Understand the risks of running Docker containers with --privileged flag ??文章來源地址http://www.zghlxwxcb.cn/news/detail-713333.html
到了這里，關于docker run：--privileged=true選項解析（特權模式：賦予容器幾乎與主機相同的權限）的文章就介紹完了。如果您還想了解更多內容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網(wǎng)！
