跳至主要內容

Docker Container Security Best Practices - Building Secure Containerized Applications

老马啸西风2025/8/30大约 6 分钟Dockercontainer-docker

Docker 容器的最佳安全实践

安全实践概述

构建安全的 Docker 容器需要在整个开发生命周期中实施一系列最佳实践。从选择安全的基础镜像到配置运行时安全策略，每个环节都需要仔细考虑安全因素。本节将详细介绍 Docker 容器的安全最佳实践，帮助您构建更加安全可靠的容器化应用。

安全实践原则

  1. 最小权限原则：只授予必要的权限
  2. 纵深防御：实施多层安全控制
  3. 持续监控：实时监控安全状态
  4. 定期更新：及时应用安全补丁
  5. 安全审计：定期进行安全评估

镜像安全最佳实践

选择安全的基础镜像

# 推荐：使用官方精简镜像
FROM node:14-alpine

# 或者使用 Distroless 镜像（更安全）
FROM gcr.io/distroless/nodejs:14

# 避免使用完整发行版
# FROM ubuntu:20.04  # 不推荐

镜像版本管理

# 使用具体版本号，避免使用 latest
FROM node:14.17.0-alpine

# 或者使用语义化版本
FROM node:14.17-alpine

# 避免使用 latest 标签
# FROM node:latest  # 不推荐

清理构建依赖

# 多阶段构建清理依赖
FROM node:14-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:14-alpine AS runtime
WORKDIR /app

# 只复制必要的文件
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/package*.json ./

# 安装生产依赖并清理缓存
RUN npm ci --only=production && \
    npm cache clean --force

# 删除不必要的文件
RUN rm -rf /root/.npm/_cacache

EXPOSE 3000
CMD ["node", "dist/index.js"]

用户和权限管理

创建非 Root 用户

# 创建非 root 用户
FROM alpine:latest

# 添加用户组和用户
RUN addgroup -g 1001 -S appgroup && \
    adduser -S appuser -u 1001 -G appgroup

# 更改应用文件所有权
COPY . /app
RUN chown -R appuser:appgroup /app

# 切换到非 root 用户
USER appuser
WORKDIR /app

CMD ["./app"]

用户命名空间重映射

// /etc/docker/daemon.json
{
  "userns-remap": "default"
}
# 验证用户命名空间重映射
docker run --rm alpine id
# 输出显示容器内 root 用户映射到宿主机非特权用户

网络安全最佳实践

网络隔离

# 创建隔离网络
docker network create --driver bridge \
  --internal \
  secure-network

# 运行容器使用隔离网络
docker run -d --name web --network secure-network nginx

端口管理

# 只暴露必要的端口
docker run -d --name web -p 8080:8080 my-app:latest

# 避免暴露所有端口
# docker run -d --name web -P my-app:latest  # 不推荐

# 绑定到特定 IP 地址
docker run -d --name web -p 127.0.0.1:8080:8080 my-app:latest

网络策略

# docker-compose.yml 中的网络配置
version: '3.8'
services:
  web:
    build: ./web
    ports:
      - "127.0.0.1:80:80"
    networks:
      - frontend
    depends_on:
      - api
  
  api:
    build: ./api
    networks:
      - frontend
      - backend
    depends_on:
      - db
  
  db:
    image: postgres:13
    environment:
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
    networks:
      - backend
    volumes:
      - db-data:/var/lib/postgresql/data

networks:
  frontend:
    driver: bridge
  backend:
    driver: bridge
    internal: true  # 内部网络，无法访问外部

volumes:
  db-data:

文件系统安全

只读文件系统

# 运行时设置只读文件系统
docker run -d --name secure-app \
  --read-only \
  --tmpfs /tmp \
  --tmpfs /var/log \
  my-app:latest

卷安全

# 使用只读卷挂载
docker run -d --name web \
  -v /host/config:/app/config:ro \
  nginx

# 使用特定用户挂载卷
docker run -d --name web \
  -v /host/data:/app/data \
  --user 1000:1000 \
  my-app:latest

文件权限管理

# Dockerfile 中设置文件权限
FROM alpine:latest

# 复制文件并设置权限
COPY app.sh /app/
RUN chmod +x /app/app.sh

# 设置敏感文件权限
COPY secrets.json /app/
RUN chmod 600 /app/secrets.json

# 更改文件所有权
RUN chown -R 1001:1001 /app

USER 1001
WORKDIR /app
CMD ["./app.sh"]

运行时安全配置

Capability 管理

# 移除不必要的 capabilities
docker run -d --name secure-app \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  my-app:latest

Seccomp 配置

// seccomp-profile.json
{
  "defaultAction": "SCMP_ACT_ERRNO",
  "architectures": [
    "SCMP_ARCH_X86_64"
  ],
  "syscalls": [
    {
      "name": "accept",
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "name": "accept4",
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "name": "access",
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}
# 使用自定义 seccomp 配置文件
docker run -d --name secure-app \
  --security-opt seccomp=./seccomp-profile.json \
  my-app:latest

禁用特权模式

# 避免使用特权模式
# docker run -d --name app --privileged my-app:latest  # 不推荐

# 使用特定 capabilities 替代
docker run -d --name app \
  --cap-add NET_ADMIN \
  --cap-add SYS_TIME \
  my-app:latest

Secrets 管理

Docker Secrets

# 创建 secrets
echo "my-database-password" | docker secret create db_password -

# 在服务中使用 secrets
docker service create \
  --name web \
  --secret db_password \
  --env DB_PASSWORD_FILE=/run/secrets/db_password \
  my-app:latest

环境变量安全

# 使用 .env 文件管理环境变量
cat > .env << EOF
DB_PASSWORD=my-secret-password
API_KEY=my-api-key
JWT_SECRET=my-jwt-secret
EOF

# 在 docker-compose.yml 中使用
# env_file:
#   - .env

外部 Secrets 管理

# 使用 HashiCorp Vault
version: '3.8'
services:
  app:
    build: ./app
    environment:
      - VAULT_ADDR=http://vault:8200
    secrets:
      - vault-token

secrets:
  vault-token:
    file: ./secrets/vault-token.txt

安全扫描和漏洞管理

镜像安全扫描

# 使用 Docker Scout 扫描镜像
docker scout cves my-app:latest

# 使用 Trivy 扫描镜像
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:latest my-app:latest

# 使用 Clair 扫描镜像
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  quay.io/coreos/clair:latest -D my-app:latest

运行时安全监控

# 使用 Falco 进行运行时安全监控
docker run -d --name falco \
  --privileged \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /dev:/host/dev \
  -v /proc:/host/proc:ro \
  -v /boot:/host/boot:ro \
  -v /lib/modules:/host/lib/modules:ro \
  -v /usr:/host/usr:ro \
  falcosecurity/falco:latest

安全配置检查

使用安全检查工具

# 使用 Docker Bench Security
docker run --rm --net host --pid host --userns host --cap-add audit_control \
  -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
  -v /var/lib:/var/lib \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  -v /usr/lib/systemd:/usr/lib/systemd:ro \
  -v /etc:/etc:ro --label docker_bench_security \
  docker/docker-bench-security:latest

# 使用 kubeaudit（适用于 Kubernetes）
kubeaudit all -f deployment.yaml

自定义安全检查脚本

#!/bin/bash
# security-check.sh

IMAGE_NAME=$1

echo "检查镜像安全: $IMAGE_NAME"

# 检查基础镜像
BASE_IMAGE=$(docker history $IMAGE_NAME | tail -2 | head -1 | awk '{print $2}')
echo "基础镜像: $BASE_IMAGE"

# 检查用户
USER_INFO=$(docker run --rm $IMAGE_NAME whoami)
echo "运行用户: $USER_INFO"

# 检查 capabilities
CAPABILITIES=$(docker run --rm --entrypoint="" $IMAGE_NAME capsh --print)
echo "Capabilities: $CAPABILITIES"

# 检查暴露端口
EXPOSED_PORTS=$(docker inspect $IMAGE_NAME | grep -A 5 "ExposedPorts")
echo "暴露端口: $EXPOSED_PORTS"

# 检查敏感文件
SENSITIVE_FILES=$(docker run --rm --entrypoint="" $IMAGE_NAME find / -name "*.key" -o -name "*.pem" 2>/dev/null)
if [ -n "$SENSITIVE_FILES" ]; then
    echo "警告: 发现敏感文件"
    echo "$SENSITIVE_FILES"
fi

安全监控和告警

日志安全监控

# 配置安全日志
docker run -d --name web \
  --log-driver syslog \
  --log-opt syslog-address=tcp://192.168.1.42:123 \
  nginx

# 使用 ELK 栈进行日志分析
docker run -d --name elasticsearch \
  -e "discovery.type=single-node" \
  docker.elastic.co/elasticsearch/elasticsearch:7.17.0

docker run -d --name kibana \
  -p 5601:5601 \
  docker.elastic.co/kibana/kibana:7.17.0

异常行为检测

# 使用 OSSEC 进行入侵检测
docker run -d --name ossec \
  -v /var/lib/docker/containers:/var/lib/docker/containers:ro \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  atomicorp/ossec-docker:latest

安全更新和维护

镜像更新策略

# 定期更新基础镜像
#!/bin/bash
# update-images.sh

IMAGES=("node:14-alpine" "nginx:alpine" "postgres:13")

for image in "${IMAGES[@]}"; do
    echo "更新镜像: $image"
    docker pull $image
done

# 重新构建应用镜像
docker-compose build --no-cache

安全补丁管理

# 使用 Watchtower 自动更新容器
docker run -d --name watchtower \
  -v /var/run/docker.sock:/var/run/docker.sock \
  containrrr/watchtower \
  --interval 3600 \
  --cleanup

通过本节内容，您已经深入了解了 Docker 容器的安全最佳实践，包括镜像安全、用户权限管理、网络安全、文件系统安全、运行时安全配置、Secrets 管理、安全扫描和监控等关键领域。遵循这些最佳实践将帮助您构建更加安全可靠的容器化应用环境。

我是老马，期待与你的下次重逢
Copyright © 2025 老马啸西风