Docker 守护进程配置之限制容器获取新的权限_no-new-privileges

作者：AllinToyou | 2024-04-24 07:35:26

踩

no-new-privileges

描述

默认情况下，限制容器通过 suid 或 sgid 位获取附加权限。
1

安全出发点

一个进程可以在内核设置 no_new_priv。它支持 fork，clone 和 execve。no_new_priv 确保进程或者其子进程不会通过 suid 或 sgid
位获得任何其他特权。这样，很多危险的操作就降低安全风险。在守护进程级别进行设置可确保默认情况下，所有新容器不能获取新的权限。
1
2

审计方法

ps -ef | grep dockerd
1

结果判定

确保 --no-new-privileges 参数存在且未设置为 false。
1

修复措施

运行 Docker 守护进程使用如下命令：
1

dockerd --no-new-privileges
1

影响

no_new_priv 会阻止像 SELinux 这样的 LSM 访问当前进程的进程标签。
1

默认值

新容器不会获得新的权限。
1

声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：【wpsshop博客】