Docker 的 Seccomp 安全配置文件

安全计算模式 （） 是 Linux 内核的一项功能。您可以使用它来 限制容器中可用的操作。系统 call 对调用进程的 seccomp 状态进行操作。您可以使用这个 功能来限制应用程序的访问。seccompseccomp()

仅当 Docker 是使用 Docker 构建的，并且 kernel 配置为 enabled。检查您的内核 支持：seccompCONFIG_SECCOMPseccomp

$ grep CONFIG_SECCOMP= /boot/config-$(uname -r)
CONFIG_SECCOMP=y

传递容器的配置文件

默认配置文件为运行具有 seccomp 并禁用了 300+ 中的大约 44 个系统调用。它是中等的 保护性，同时提供广泛的应用程序兼容性。默认的 Docker 个人资料可以在这里找到。seccomp

实际上，配置文件是一个允许列表，它拒绝通过以下方式访问系统调用 default，然后将特定系统调用列入许可名单。配置文件的工作原理是定义 of 并仅针对特定 system 调用。的效果是导致错误。接下来，配置文件定义一个特定的系统调用列表，这些调用完全 允许，因为 被 覆盖为 。最后 一些特定规则适用于单个系统调用，例如 ，以及其他 以允许具有特定参数的这些系统调用的变体。defaultActionSCMP_ACT_ERRNOSCMP_ACT_ERRNOPermission DeniedactionSCMP_ACT_ALLOWpersonality

seccomp有助于以最低权限运行 Docker 容器。它 不建议更改默认配置文件。seccomp

当您运行容器时，除非您覆盖它，否则它将使用默认配置文件 与选项。例如，以下显式 指定策略：--security-opt

$ docker run --rm \
             -it \
             --security-opt seccomp=/path/to/seccomp/profile.json \
             hello-world

默认配置文件阻止的重要 syscall

Docker 的默认 seccomp 配置文件是一个允许列表，它指定了 都是允许的。下表列出了 被有效地阻止，因为它们不在允许列表中。该表包括 每个 syscall 被阻止而不是列入白名单的原因。

在没有默认 seccomp 配置文件的情况下运行

你可以传递以运行没有默认 seccomp 的容器 轮廓。unconfined

$ docker run --rm -it --security-opt seccomp=unconfined debian:jessie \
    unshare --map-root-user --user sh -c whoami