7.3.10. 安全加固¶
- 最小安装
- 删除所有开发工具（编译器等）
- 更新系统源
- 启用 AppArmor
- 启用 SELinux
- 限制运行容器的内核功能
- 移除依赖构建
- 配置严格的网络访问控制策略
- 不使用root用户启动docker
- 不以privileged特权模式运行容器
- 控制资源
- CPU Share
- CPU 核数
- 内存资源
- IO 资源
- 磁盘资源
- 硬件资源
- 单位时间内进程数量上限
- 使用安全的基础镜像
- 定期安全扫描和更新补丁
- 删除镜像中的 setuid 和 setgid 权限
RUN find / -perm +6000-type f-exec chmod a-s {} \;|| true
- 配置Docker守护程序的TLS身份验证
- 如非必要 禁止容器间通信
- rootless Docker
- 使用 Seccomp 限制 syscall
- 构建环境和在线环境分开
- 证书校验