При запуске контейнера, пользователь может монтировать каталог с флагом:
-v /hostdir/:/contdir/
Можно ли это как-нибудь запретить?
На уровне демона докера, чтобы не прописывать профайлы каждого контейнера в apparmor
?
Stack Overflow на русском — это сайт вопросов и ответов для программистов. Присоединяйтесь! Регистрация займёт не больше минуты.
Присоединиться к сообществуПри запуске контейнера, пользователь может монтировать каталог с флагом:
-v /hostdir/:/contdir/
Можно ли это как-нибудь запретить?
На уровне демона докера, чтобы не прописывать профайлы каждого контейнера в apparmor
?
Может это не то что вы хотите, но попробую ответить.
Запретить монтировать в докер можно, используя костыли: к примеру разрешить пользователям только выполнение определенных по маске команд для запуска контейнеров.
Но если проблема конкретно в доступе из-под контейнера в файловую систему рут-хоста, то у разработиков docker есть такой вариант защиты: включить user namespace. Как это работает:
$ sudo adduser dockremap
Установим для него subiud и subgid
$ sudo sh -c 'echo dockremap:500000:65536 > /etc/subuid'
$ sudo sh -c 'echo dockremap:500000:65536 > /etc/subgid'
Добавляем параметр "userns-remap" для этого создадим/изменим файл (/etc/docker/daemon.json) добавив параметр
{
"userns-remap": "default"
}
перезапускаем демона - /etc/init.d/docker restart
После этих манипуляций проброшенный внутрь контейнера каталог не может быть изменен пользователями с одинаковыми uid:gid внутри котейнера, так как контейнер выполняется в другом (пользовательском) пространстве имен.