Tắt các tùy chọn chạy Docker nhất định

Question

Tôi hiện đang làm việc trên một thiết lập để làm cho Docker có sẵn trên một cụm hiệu suất cao (HPC). Ý tưởng là mọi người dùng trong nhóm của chúng tôi đều có thể đặt trước một máy trong một khoảng thời gian nhất định và có thể sử dụng Docker theo cách "bình thường". Có nghĩa là truy cập vào Docker Daemon thông qua CLI Docker.

Để làm điều đó, người dùng sẽ được thêm vào nhóm Docker. Nhưng điều này đặt ra một vấn đề bảo mật lớn đối với chúng tôi, vì điều này về cơ bản có nghĩa là người dùng có đặc quyền root trên máy đó.

Ý tưởng mới là sử dụng tùy chọn ánh xạ vùng tên người dùng (như được mô tả trong https://docs.docker.com/engine/reference/commandline/dockerd/#/daemon-user-namespace-options). Như tôi thấy, điều này sẽ giải quyết vấn đề bảo mật lớn nhất của chúng tôi rằng thư mục gốc trong một thùng chứa giống như thư mục gốc trên máy chủ.

Nhưng miễn là người dùng có thể bỏ qua điều này qua --userns = host, điều này không làm tăng tính bảo mật theo bất kỳ cách nào.

Có cách nào để vô hiệu hóa tùy chọn này và các tùy chọn chạy Docker khác không?

Answer 1

Như đã đề cập trong issue 22223

Có một toàn bộ rất nhiều cách mà người dùng có thể nâng cao đặc quyền thông qua Docker chạy, ví dụ bằng cách sử dụng --privileged.
Bạn có thể ngăn chặn điều này bởi:

• hoặc không trực tiếp cung cấp quyền truy cập vào các daemon trong sản xuất và sử dụng các kịch bản,

(mà không phải là những gì bạn muốn ở đây)

• hoặc bằng cách sử dụng auth plugin để không cho phép một số tùy chọn.

Đó là:

dockerd --authorization-plugin=plugin1 

Mà có thể dẫn đến: