![将 SYS_ADMIN 赋予 Docker 容器的缺点](https://linux22.com/image/715210/%E5%B0%86%20SYS_ADMIN%20%E8%B5%8B%E4%BA%88%20Docker%20%E5%AE%B9%E5%99%A8%E7%9A%84%E7%BC%BA%E7%82%B9.png)
我需要向容器添加 SYS_ADMIN 功能,以便能够在容器内绑定挂载。但我有安全方面的顾虑(请参阅https://lwn.net/Articles/486306/和 https://rhelblog.redhat.com/2016/11/30/container-tidbits-adding-capabilities-to-a-container/)。
是否有实际示例说明将 SYS_ADMIN 功能添加到容器的副作用?另一个问题是,我听说可以从具有 SYS_ADMIN 功能的容器中脱离出来。但如何实现呢?
非常感谢。
答案1
请注意,为进程赋予 SYS_ADMIN 能力几乎等于取消了它的所有隔离。一般来说,您不应该这样做,但如果出于某种原因绝对需要,知道您可以这样做会很有帮助。
此外,--cap-add=SYS_ADMIN
与交换机相比,使用该命令授予容器的功能子集较小--privileged
,因此最好尽可能使用。尝试使用--cap-add
并查看它是否提供您需要的访问权限。