Docker的内存配额及其安全
- 一、理解Docker安全
- 1.命名空间隔离的安全
- 2.控制组资源控制的安全
- 3.内核能力机制
- 4.Docker服务端防护
- 5.其他安全特性
- 二、容器资源配置
- 1.CPU限额
- 2.内存限制
- 三.docker安全加固
- 1.设置特权级运行的容器
- 2.设置容器白名单
一、理解Docker安全
Docker容器的安全性，很大程度上依赖于Linux系统自身，评估Docker的安全性时，主要考虑以下几个方面：
1.命名空间隔离的安全
2.控制组资源控制的安全
3.内核能力机制
4.Docker服务端防护
5.其他安全特性
二、容器资源配置
1.CPU限额
cpu_period 和 cpu_quota 这两个参数需要组合使用，用来限制进程在长度为 cpu_period 的一段时间内，只能被分配到总量为 cpu_quota 的 CPU 时间
再添加一个CPU
测试两个cpu的争抢问题
如果你是两个cpu的话首先先关掉一个cpu
退出刚才第二次启用的交互，下面我们可以加一个限制cpu的参数，重新进去，再次查看top中cpu占用情况
2.内存限制
容器可用内存包括两个部分：
物理内存和swap交换分区。docker run -it --memory 200M --memory-swap=200M ubuntu
–memory设置内存使用限额
–memory-swap设置swap交换分区限额
下载libcgroup-tools工具
创建一个用来测试内存的目录x1:
我们可以发现，创建好的目录x1里面拥有很多配置文件
因为它直接继承上级目录下的所有文件！
限制上传的内存最大为200M
建指定大小的空间，但是我们发现前面已经设置了最大内存为200M，但是创建300M的空间也并不会报错！！
那是因为它占用了我们的swap分区的大小！
我们每次创建一定大小空间之后，用free -m查看一下内存情况就明白了！
我们的mem空间并没有使用有效空间都是1432如下图，但是swap空间使用多了100M，这下刚才的疑惑就解决了！！
关闭swap分区，再添加300M就会直接报错
报错！！！！
三.docker安全加固
利用LXCFS增强docker容器隔离性和资源可见性
1.设置特权级运行的容器
2.设置容器白名单
–cap-add
*–privileged=true 的权限非常大，接近于宿主机的权限，为了防止用户的滥用，需要增加限制，只提供给容器必须的权限
此时Docker 提供了权限白名单的机制，使用–cap-add添加必要的权限。
删除ip：
