Docker守护程序以root身份运行。一旦我们将用户添加到Docker组中,他可以启动任何docker容器,甚至具有特权的容器。这似乎是一个严重的安全问题。
有没有办法限制某些Docker组中的用户不能运行特权容器?
目前没有办法限制对特权容器的访问。例如,Fedora已经放弃了docker
组(因为授予对docker的访问实际上就像授予无需密码的sudo
访问权限一样)。
如果你想提供"docker作为服务",你可能希望在它之前添加类似Kubernetes这样的东西,它只提供对Docker API间接访问,并且可以配置允许或拒绝使用特权容器。