Docker的安全

一·Docker的安全机制

[root@foundation41 test]# docker run -it --name vm2 ubuntu
root@ef5e31b4b595:/# ip addr
root@ef5e31b4b595:/# ip link set down eth0
RTNETLINK answers: Operation not permitted     #报错（不是超户）

[root@foundation41 test]# docker rmi rhel7:v4
[root@foundation41 test]# docker run -it --name vm3 --privileged=true ubuntu #设置特权级运行的容器
root@5cf4b69263f0:/# ip addr
root@5cf4b69263f0:/# ip link set down eth0
root@5cf4b69263f0:/# ip addr

二·设置允许容器占用的内存大小和swap分区大小

[root@foundation41 ~]# docker rm -f `docker ps -aq`
[root@foundation41 ~]# cd
[root@foundation41 ~]# docker run --rm -it --name vm1 -m 100M --memory-swap 100M stress --vm 1 --vm-bytes 90M
# 设置提供和给vm1的内存大小为100M，内存加交换分区的大小为100M，则能处理的最大压测也是100M

[root@foundation41 docker]# top

[root@foundation41 ~]# docker run --rm -it --name vm1 -m 100M --memory-swap 100M stress --vm 1 --vm-bytes 110M  

1.限制容器占用的cpu

分别在两个shell做
[root@foundation41 ~]# docker run --rm -it --cpu-shares 512 stress -c 1
[root@foundation41 ~]# docker run --rm -it --cpu-shares 1024 stress -c 1
# 这两者的优先级是1024的大，但是在cpu核数充足的时候，cpu可以同时满足这两个压测，体现不出来优先级

[root@foundation41 ~]# docker run --rm -it --cpu-shares 1024 stress -c 4
[root@foundation41 ~]# docker run --rm -it --cpu-shares 1024 stress -c 4

2·按每秒写入块设备的数据量设定上限

[root@foundation41 ~]# docker run --rm -it --device-write-bps /dev/sda:10M ubuntu
root@18f9a0279d1d:/# dd if=/dev/zero of=file bs=1M count=100
root@18f9a0279d1d:/# dd if=/dev/zero of=file bs=1M count=100 oflag=direct
# direct 模式就是把写入请求直接封装成io 指令发到磁盘
# 非direct 模式，就把数据写入系统缓存，然后就认为io 成功，并由操作系统决定缓存中的数据什么时候被写入磁盘

3·删除容器

[root@foundation41 ~]# docker ps -a
[root@foundation41 ~]# docker run -it --name vm1 ubuntu
root@aa4141199b64:/# [root@foundation41 ~]# 
[root@foundation41 ~]# docker container pause vm1
[root@foundation41 ~]# docker ps -a
[root@foundation41 ~]# docker inspect vm1

[root@foundation41 ~]# docker ps -a
[root@foundation41 ~]# docker container unpause vm1
[root@foundation41 ~]# docker stop vm1
[root@foundation41 ~]# docker ps -a
[root@foundation41 ~]# brctl show
[root@foundation41 ~]# docker inspect vm1