मेरे पास निम्नलिखित कंटेनर सेटअप है ।
एक नंगे धातु सर्वर पर दो डॉकर डेमॉन स्थापित और चल रहे हैं ।
- मुख्य डॉकर डेमॉन बाहरी दुनिया में 80/443 को उजागर करने वाले मेरे एप्लिकेशन कंटेनर चलाता है ।
- प्लगइन डॉकर डेमॉन ग्राहक द्वारा प्रदान किए गए कुछ कंटेनर चलाता है जो 80/443 के माध्यम से मेरे आवेदन के साथ संवाद करते हैं ।
मैं ग्राहक को एपीआई (2376) तक पहुंच देना चाहूंगा प्लगइन डॉकर डेमॉन ताकि ग्राहक अपने स्वयं के कंटेनरों को तैनात/शुरू/रोक सके । ग्राहक के पास केवल एपीआई तक पहुंच होगी न कि होस्ट (एसएसएच) तक ।
वर्तमान में मुझे जो समस्या का सामना करना पड़ रहा है, क्या होगा यदि ग्राहक एक कंटेनर चलाते हैं जो कुछ असुरक्षित करता है जैसे docker run -v /:/host/root Ubuntu rm -rf /host/root.
मेरा सवाल है कि मैं क्या कर सकता हूं रोकने के लिए प्लगइन डॉकर डेमॉन बढ़ते रूट से / या किसी अन्य निर्देशिका के बाहर /home/user/,
- क्या यह डॉकर डेमॉन को शुरू करने का विकल्प है
/home/user/? - क्या मैं कुछ एलएसएम (लिनक्स सुरक्षा मॉड्यूल सेलिनक्स/एपर्मर) जादू का उपयोग कर सकता हूं ताकि डॉकर डेमॉन को उपयोगकर्ताओं के घर या वीएआर/डॉकर/लिब्स को छोड़कर कुछ या सभी होस्ट पथों को माउंट करने से रोका जा सके?
- कर सकते हैं
--userns-remapमेरा लक्ष्य हासिल करने में मेरी मदद करें? - क्या वे वीएम को छोड़कर कोई अन्य विकल्प उपलब्ध हैं?
सर्वर पूरी तरह से एक ही ग्राहक का है । इसलिए सुरक्षा या डेटा रिसाव मेरी प्राथमिक चिंता नहीं है । क्या मैं वास्तव में रोकने के लिए चाहते हैं कि किसी में है प्लगइन डेमॉन कुछ बेवकूफी कर रहा है, जो मेरे कंटेनरों को प्रभावित करता है जो अंदर चलते हैं मुख्य डॉकर डेमॉन. मैं दुबला रहना चाहता हूं और केवल वर्कफ़्लो के लिए डॉक करना चाहता हूं और वीएम निर्माण के लिए एक अतिरिक्त वर्कफ़्लो स्थापित नहीं करना चाहता हूं ।