永远不要以root用户的身份在容器内运行正式的应用，否则一旦攻击者攻破了应用就能获取容器的全部访问权限。

而且在未开启USER NAMESPACE的情况下，该权限会蔓延到主机挂载到容器中的卷上。

更糟糕的是，若他能突破容器的限制，则它就能获得主机上的root权限了。

容器应该仅仅打开必须的端口，且只对所需的容器开放。

为了实现这一点，Docker守护进程启动时需要加上 --icc=false 参数以关容器间的默认通讯。

另外，在主机上发布端口时，Docker默认在主机所有接口上发布，最好明确指定希望绑定的接口以减少攻击面

docker run -p 192.168.1.9:8080:8080 -d httpd

这类文件一般只在构建镜像时有用，但却极易被利用来发动提权攻击。

可以通过下面命令来找出并移除二进制文件的suid/sgid设置

RUN find / -perm /6000 -type f -exec chmod a-s {} \;||true

限制容器内存使用可以防止DoS攻击和应用程序的内存泄漏。

若不限制容器的CPU使用率，则攻击者可以通过一个容器将主机CPU完全占用，从而导致系统被DoS攻击瘫痪。

CPU的限制参数包括如下：

docker run --help|grep cpu

    --cpu-period int                 Limit CPU CFS (Completely Fair
    --cpu-quota int                  Limit CPU CFS (Completely Fair
    --cpu-rt-period int              Limit CPU real-time period in
    --cpu-rt-runtime int             Limit CPU real-time runtime in
-c, --cpu-shares int                 CPU shares (relative weight)
    --cpus decimal                   Number of CPUs
    --cpuset-cpus string             CPUs in which to allow execution
    --cpuset-mems string             MEMs in which to allow execution

若系统不断崩溃又不断重启，将会造成大量系统时间和资源浪费。

为了防止这种情况出现，我们可以将重启策略由 always 改成 on-failure 并指定重启次数

docker run -d --restart=on-failure:10 $image

容器的重启次数可以通过 docker inspect 的 .RestartCount 元数据找到

docker inspect -f "{{.RestartCount}}" $container

另外，Docker重启容器的时间间隔采用指数递增的方式进行，即第一次重启等待100ms，第二次200ms，第三次400ms，这个措施能有效防止利用重启机制引发DoS攻击

阻止攻击者对容器内文件系统的写入可以抵御系统的攻击。

在 docker run 中使用 --read-only 参数可以把容器的文件系统设置为只读:

docker run --read-only ubuntu touch x 2>&1 || exit 0

touch: cannot touch 'x': Read-only file system

给数据卷参数后加上 :ro 则能够把卷设为只读

docker run -v ${pwd}:/pwd:ro ubuntu touch /touch /pwd/x 2>&1 ||exit 0

touch: cannot touch '/pwd/x': No such file or directory

我们可以通过 docker run 的 --cap-add 和 --cap-drop 参数来控制容器允许使用的内核能力。

最不安全的做法就是通过 --privileged 参数放开权限。

一般的做法是先把所有权限清空，再把需要的权限添加回去

docker run --cap-drop all --cap-add CHOWN ubuntu chown 770 /tmp

Linux内核定义了一些用于进程的资源限制，可以限制进程允许fork的子进程数，或者允许打开的文件描述符数量等。

通过 docker run 的 --ulimit 选项可以将限制也用于容器上。 同时，我们可以在启动Docker守护进程时加上 --default-ulimit 选项来给所有容器设置资源限制的默认值。 选项参数中包括两个数值，其格式为 资源=软限制:硬限制 ,若只提供一个值，则表示同时作为软限制和硬限制。

比较常用的限制包括以下几个:

最常见的Linux安全模块包括AppArmor和SELinux。

通过 docker run 的 --security-opt 选项可以设置容器的标签，使之与LSM整合在一起

• 定期检查正在运行的容器，确保使用的镜像是最新的，而且这些镜像所使用的如那件也是最新的，没有安全隐患的。
• 使用 docker diff 检查容器与镜像之间的差异
• 运行极简的镜像，其中只包含应用程序必需的文件和程序库

若Docker Daemon通过TCP方式与外界通讯，则可能传输内容会被截获，为此Docker Daemon提供了4个参数来开启TLS加密传输

docker daemon --tlsverify \
       --tlscacert=ca.pem \
       --tlscert=server-cert.pem \
       --tlskey=server-key.pem \
       -H=0.0.0.0:2376

--tlsverify

安全传输验证

--tlscacert=ca.pem

信任的证书

--tlscert=server-cert.pem

服务证书

--tlskey=server-key.pem

服务器或客户端密钥

当然，相应的在客户端连接时也需要设置这四个参数:

docker --tlsverify \
       --tlscacert=ca.pem \
       --tlscert=cert.pem \
       --tlskey=key.pem \
       -H=${DAEMON_HOST}:2376

目前namespace在隔离上并不完善，还有许多未隔离的内核资源可能会影响到容器安全，比如 procfs, syslog 等