1

При запуске контейнера, пользователь может монтировать каталог с флагом:

-v /hostdir/:/contdir/

Можно ли это как-нибудь запретить?
На уровне демона докера, чтобы не прописывать профайлы каждого контейнера в apparmor?

7
  • Так же, не рассматриваю вариант с seccomp. Пользователь сможет запустить контейнер без конфига по ограничению команд 3 июл 2018 в 13:31
  • докер доступен в сорцах - скачайте и пересоберите под себя
    – KoVadim
    3 июл 2018 в 13:37
  • Увы, не обладаю навыками программирования, ищу костыль или решение для ограничения привилегий при запуске/управлении 3 июл 2018 в 13:41
  • тогда создайте алиас, который, и проверит ключ. Да, умный пользователь всегда обойдет,а обычный нет
    – KoVadim
    3 июл 2018 в 13:46
  • Какой именно алиас имеется ввиду? 3 июл 2018 в 14:59

1 ответ 1

2

Может это не то что вы хотите, но попробую ответить.

Запретить монтировать в докер можно, используя костыли: к примеру разрешить пользователям только выполнение определенных по маске команд для запуска контейнеров.

Но если проблема конкретно в доступе из-под контейнера в файловую систему рут-хоста, то у разработиков docker есть такой вариант защиты: включить user namespace. Как это работает:

  1. добавляем пользователя $ sudo adduser dockremap
  2. Установим для него subiud и subgid $ sudo sh -c 'echo dockremap:500000:65536 > /etc/subuid' $ sudo sh -c 'echo dockremap:500000:65536 > /etc/subgid'

  3. Добавляем параметр "userns-remap" для этого создадим/изменим файл (/etc/docker/daemon.json) добавив параметр

    { "userns-remap": "default" }

  4. перезапускаем демона - /etc/init.d/docker restart

После этих манипуляций проброшенный внутрь контейнера каталог не может быть изменен пользователями с одинаковыми uid:gid внутри котейнера, так как контейнер выполняется в другом (пользовательском) пространстве имен.

2
  • Не помогло увы :( 9 июл 2018 в 7:36
  • Хотя нет, поторопился - помогло! Спасибо 9 июл 2018 в 12:37

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.