你们会将普通用户加入 docker 用户组吗？
rv54ntjwfm3ug8 · 2021-04-05 20:55:36 +08:00 via iPhone · 1567 次点击这是一个创建于 1333 天前的主题，其中的信息可能已经有所发展或是发生改变。
这样恶意软件 / 正常软件被攻击时是否可以通过用 `-v /:/114514` 这样的参数创建容器来对主机系统文件进行未授权的修改？是否存在严重安全隐患，为什么官方的安装教程存在将普通用户加入 docker 用户组这一步？
 |
1
jim9606 2021-04-05 21:23:59 +08:00  1
你说的这个攻击面是存在的，所以 docker 官方安全指南要求 docker socket 只能对受信任用户开放，如果需要更细致的限制方案，需要第三方 PaaS 组件实现。
还有一种方法是使用 systemd.exec 提供的防护开关缩减 docker.service 的权限及可见性。 |
 |
2
julyclyde 2021-04-08 12:34:04 +08:00 1
官方哪个教程？？
|
Select Language