Docker实验（十）Docker容器的安全加固（LXCFS，特权级运行容器）
一.安全加固
- 安全加固的思路
保证镜像的安全
1.使用安全的基础镜像
2.删除镜像中的setuid和setgid权限
3.启用Docker的内容信任
4.最小安装原则
5.对镜像进行安全漏洞扫描,镜像安全扫描器:Clair
6.容器使用非root用户运行 - 保证容器的安全
1.对docker宿主机进行安全加固
2.限制容器之间的网络流量
3.配置Docker守护程序的TLS身份验证
4.启用用户命名空间支持
5.限制容器的内存使用量
6.适当设置容器CPU优先级 - Docker安全遗留问题
- 主要的内核子系统都没有命名空间,如:SELinux，cgroup，在/sys下的文件系统，/proc/sys, /proc/sysrq-trigger, /proc/irq, /proc/bus
设备没有命名空间:/dev/mem，/dev/sd*文件系统设备，内核模块
二.利用LXCFS增强docker容器隔离性和资源可见性
- Linux利用Cgroup实现了对容器的资源限制，但在容器内部依然缺省挂载了宿主机上的procfs的/proc目录，其包含如：meminfo, cpuinfo，stat， uptime等资源信息。一些监控工具如free/top或遗留应用还依赖上述文件内容获取资源配置和使用情况。当它们在容器中运行时，就会把宿主机的资源状态读取出来，引起错误和不便。社区中常见的做法是利用 lxcfs来提供容器中的资源可见性。lxcfs 是一个开源的FUSE（用户态文件系统）实现来支持LXC容器，它也可以支持Docker容器。
- 如果默认建立容器，那么容器中看到的内存信息是主机的，这是不合理的，但是在主机中，我们又控制了资源，可是却无法显示，本实验要做的是在容器中资源也将被限制，显示被限制后的资源
- LXCFS通过用户态文件系统，在容器中提供下列 procfs 的文件。
/proc/cpuinfo
/proc/diskstats
/proc/meminfo
/proc/stat
/proc/swaps
/proc/
（一）容器中的内存信息和主机中的内存信息
运行一个容器并查看其内存信息，查看后退出，再次查看本机的内存信息，发现两者一样
[root@server1 ~]# docker run -it --name vm2 ubuntu
root@9496b43f76d2:/# free -m
root@9496b43f76d2:/# [root@server1 ~]#
[root@server1 ~]# free -m
（二）启动lxcfs
1.安装lxcfs 的RPM包
[root@server1 ~]# ls
[root@server1 ~]# yum install lxcfs-2.0.5-3.el7.centos.x86_64.rpm -y
2.启动lxcfs，注意在启动后按回车结束,千万不要用Crtl+c,因为Ctrl+c会将该进程杀死
[root@server1 ~]# cd /var/lib/lxcfs/
[root@server1 lxcfs]# ls
#按回车结束,千万不要用Crtl+c,因为Ctrl+c会将该进程杀死。
[root@server1 lxcfs]# lxcfs /var/lib/lxcfs/ &
3.启动lxcfs之后，会在/var/lib/lxcfs目录下生成两个目录
[root@server1 lxcfs]# cd /var/lib/lxcfs/
[root@server1 lxcfs]# ls
注意：
如果在/var/lib/lxcfs目录下启动的lxcfs，之后需要重新进入才可以看到新生成的目录
4.查看lvxfs的进程
[root@server1 lxcfs]# ps ax | grep lxcfs
（三）测试
我们将创建docker容器并限制内存，之后查看时发现总共的内存为256M，说明配置已经生效
[root@server1 ~]# docker run -it -m 300m \
> -v /var/lib/lxcfs/proc/cpuinfo:/proc/cpuinfo:rw \
> -v /var/lib/lxcfs/proc/diskstats:/proc/diskstats:rw \
> -v /var/lib/lxcfs/proc/meminfo:/proc/meminfo:rw \
> -v /var/lib/lxcfs/proc/stat:/proc/stat:rw \
> -v /var/lib/lxcfs/proc/swaps:/proc/swaps:rw \
> -v /var/lib/lxcfs/proc/uptime:/proc/uptime:rw \
> ubuntu
root@fa32d61190d4:/# free -m
总结：
1.相当于把宿主机的 /var/lib/lxcfs/proc/memoinfo 文件挂载到Docker容器的/proc/meminfo位置后。容器中进程读取相应文件内容时，LXCFS的FUSE实现会从容器对应的Cgroup中读取正确的内存限制。从而使得应用获得正确的资源约束设定。
2.不能直接把/var/lib/lxcfs/proc目录挂载到容器内的/proc目录下，因为容器内的/proc目录下本身是有内容的，是系统的进程信息等等，如果直接把/var/lib/lxcfs/proc目录挂载到容器内的/proc目录下，会覆盖容器内/proc目录下的内容，而/proc目录下记录的是容器的进程信息等等内容，是不能被覆盖的，所以不能直接把/var/lib/lxcfs/proc目录挂载到容器内的/proc目录下。
三.设置特权级运行的容器
通常情况下，我们运行的容器都是以普通身份运行的，而且此时我们无法操作内核模块，控制swap分区，挂载usb磁盘，修改mac地址等，虽然在容器中显示的是超级用户，可是并不是真正的超级用户
（一）设置容器
1.运行一个容器，并尝试将eth0关闭
[root@server1 ~]# docker run -it --name vm1 ubuntu
#查看其ip以及网卡eth0的状态
root@385fb1c825c6:/# ip addr
#查看id，发现此时显示的是超级用户
root@385fb1c825c6:/# id
#down掉eth0，发现没有权限
root@385fb1c825c6:/# ip link set down eth0
2.再次运行一个容器，给予此容器特权
[root@server1 ~]# docker run -it --name vm2 --privileged=true ubuntu
（二）测试
1.查看其容器的ip并将其网卡down掉，然后查看，发现此时网卡被down掉
root@d75b0de586d4:/# ip addr
root@d75b0de586d4:/# ip link set down eth0
root@d75b0de586d4:/# ip addr
2.再次将网卡提起，发现可以成功提起来
root@d75b0de586d4:/# ip link set up eth0
root@d75b0de586d4:/# ip addr
3.添加ip到网卡eth0中，发现可以成功添加
root@d75b0de586d4:/# ip addr add 172.25.0.3/24 dev eth0
root@d75b0de586d4:/# ip addr
补充：
设置容器白名单:–cap-add
- –privileged=true 的权限非常大,接近于宿主机的权限,为了防止用户的滥用,需要增加限制,只提供给容器必须的权限。此时Docker 提供了权限白名单的机制,使用–cap-add添加必要的权限。
#docker run -it --cap-add=NET_ADMIN --name vm1 ubuntu bash
#docker inspect -f {{.HostConfig.Privileged}} vm1 false
#docker inspect -f {{.HostConfig.CapAdd}} vm1 {[NET_ADMIN]}