Entwicklertools · Docker-Run-to-Docker-Compose-Konverter
--privileged, --cap-add und --device: was sie in einer Compose-Datei bedeuten
· Warum es wichtig ist
Docker verfassen Sicherheit
Ein Flag schaltet den größten Teil der Docker-Isolation aus. In diesem Beitrag wird erklärt, was --privileged tatsächlich gewährt, welche engeren Alternativen es gibt und wie sie nach der Konvertierung unterprivileged:, cap_add: und devices: aussehen.
Im Forum hieß es: „add --privileged“ – der Container funktioniert jetzt und die Isolation, die Container attraktiv gemacht hat, ist weitgehend verschwunden
Im Forum hieß es „add --privileged“ – der Container funktioniert jetzt und die Isolation, die Container attraktiv gemacht hat, ist weitgehend verschwunden. Beweis: --privileged wird ohne Sicherheitsvermerk zu privilegiert wahr. Reproduzieren Sie die geringsten Privilegien mit verfügbaren Literalen. Koppeln Sie jedes Quellenvorkommen mit Geräten mit privilegierten Funktionen. Reservieren Sie die Beschränkung des Gastgebers und den Zugang zur Zielüberprüfung.
Der Sicherheitsvorfall zeigt auch, dass eine separate Sicherheitsvorfallgrenze darin besteht, dass --device erkannt, aber gewarnt und als hostabhängig weggelassen wird. Beweis: --device wird erkannt, aber gewarnt und als hostabhängig ausgelassen. Diese Einschränkung der geringsten Rechte ist ein Haltepunkt. Untersuchen Sie Geräte mit privilegierten Funktionen ohne Herstellungsverhalten und dokumentieren Sie dann eine Hostprüfung auf Hostbeschränkung und Zugriff.
Was --privileged bewirkt – alle Funktionen, Zugriff auf alle Geräte und entspannte Seccomp- und AppArmor-Beschränkung
Was --privileged bewirkt – alle Funktionen, Zugriff auf alle Geräte und entspannte Seccomp- und AppArmor-Beschränkung. Beweis: Host-Beschränkungseffekte können nicht aus dem Befehlstext aufgezählt werden. Verfolgen Sie Least-Privilege-Tokens auf Geräten mit privilegierten Funktionen. Trennen Sie geordnete Werte von Feldern mit dem letzten Wert. Die Beschränkung des Hosts und der Zugriff liegen außerhalb der Sammlung.
Eine damit verbundene Grenze des Sicherheitsmechanismus besteht darin, dass eine separate Grenze der Sicherheitsgrammatik darin besteht, dass der erforderliche Zigbee-Zugriff nicht aus einem früheren privilegierten Befehl abgeleitet werden kann. Beweis: Der erforderliche Zigbee-Zugriff kann nicht aus einem früheren privilegierten Befehl abgeleitet werden. Verwenden Sie diese Tatsache der geringsten Berechtigung, um ein Mitglied oder einen Skalar in Geräten mit privilegierten Funktionen vorherzusagen. Überprüfen Sie die Warnungen, bevor Sie eine Entscheidung über die Host-Beschränkung und den Host-Zugriff treffen.
Capabilities stattdessen – cap_add: mit NET_ADMIN, SYS_TIME oder anderen als engere Version und cap_drop: ALL als Basislinie
Capabilities stattdessen – cap_add: mit NET_ADMIN, SYS_TIME oder anderen als engere Version und cap_drop: ALL als Basislinie. Beweis: --cap-add und --cap-drop werden zu explizit geordneten Listen. Beurteilen Sie die Serialisierung mit den geringsten Privilegien anhand ihres Modells. Die Angabe von Geräten mit privilegierten Funktionen schützt die Typen, liefert jedoch keinen Betriebsnachweis für die Host-Beschränkung und den Host-Zugriff.
Die zweite Beobachtung der Sicherheitsserialisierung ist, dass ein sichtbarer privilegierter Schlüssel die Überprüfung unterstützt, während Warnungen Lücken bewahren. Beweis: Ein sichtbarer privilegierter Schlüssel unterstützt die Überprüfung, während Warnungen Lücken bewahren. Diese Ausgabe mit den geringsten Berechtigungen trennt Einstellungen vom nicht verfügbaren Kontext. Sorgen Sie dafür, dass Geräte mit privilegierten Funktionen überprüfbar sind, und überprüfen Sie die Host-Beschränkung und den Zugriff unabhängig voneinander.
--Gerät wird erkannt, aber absichtlich nicht konvertiert; Fügen Sie manuell eine hostspezifische Geräteliste hinzu
Geräte stattdessen – --device /dev/ttyUSB0 werden zu Geräten:, der übliche wahre Grund, warum Menschen nach –privileged griffen. Beweis: --device wird erkannt, aber gewarnt und als hostabhängig ausgelassen; --device wird erkannt, aber bewusst nicht konvertiert; Fügen Sie manuell eine hostspezifische Geräteliste hinzu. Stoppen Sie bei der Ausnahme mit den geringsten Privilegien, anstatt zu raten. Für jedes zusätzliche Gerät mit nahezu privilegierten Funktionen ist ein einsatzspezifischer Grund erforderlich, der mit der Host-Beschränkung und dem Host-Zugriff verknüpft ist.
Eine weitere Sicherheitsausnahmeeinschränkung besteht darin, dass für diesen Sicherheitsabschnitt der ursprüngliche Befehl und die Warnungen für diesen Sicherheitsabschnitt neben dieser Kandidatendatei aufbewahrt werden. Beweis: Das Repository liefert keinen umfassenderen Laufzeit- oder historischen Beweis. Behalten Sie neben den Warnungen den ursprünglichen Befehl mit den geringsten Rechten bei. Der Vergleich zeigt, welche privilegierten Fähigkeiten Geräte enthalten und welche Host-Beschränkung und Zugriffsentscheidung manuell erfolgen.
Eine Deprivilegierungsbearbeitung erfordert die Beurteilung durch den Bediener, da dieser Konverter nicht auf erforderliche Geräte oder Funktionen schließen kann
Funktioniertes Beispiel: Deprivilegierung eines Zigbee-Bridge-Befehls – Ersetzen von --privileged durch einen Geräteeintrag und eine einzelne Funktion. Beweis: Der erforderliche Zigbee-Zugriff kann nicht aus einem früheren privilegierten Befehl abgeleitet werden; Eine Deprivilegierungsbearbeitung erfordert die Beurteilung durch den Bediener, da dieser Konverter nicht auf erforderliche Geräte oder Funktionen schließen kann. Erstellen Sie das Beispiel mit den geringsten Privilegien aus synthetischen Namen. Machen Sie jedes Geräteelement mit privilegierten Funktionen rückverfolgbar, ohne die Beschränkung des Produktionshosts und Zugriffsdetails preiszugeben.
Das gleiche Sicherheitsbeispiel zeigt, dass für diesen Sicherheitsabschnitt der ursprüngliche Befehl und die Warnungen für diesen Sicherheitsabschnitt neben dieser Kandidatendatei aufbewahrt werden. Die gepaarte Tatsache der geringsten Berechtigung sollte auf Geräten mit privilegierten Funktionen sichtbar sein. Notieren Sie diese Zeile und vermeiden Sie Annahmen über die Host-Beschränkung und den Host-Zugriff.
Das konvertierte YAML als Rezension lesen – privilegiert: wahr sticht in einem Diff auf eine Weise hervor, wie es ein Flag in einer Shell-Zeile nicht tut
Das konvertierte YAML als Rezension lesen – privilegiert: wahr sticht in einem Diff auf eine Weise hervor, wie es ein Flag in einer Shell-Zeile nicht tut. Übersetzen Sie die Konsequenz der geringsten Privilegien in einen beobachtbaren Unterschied zwischen privilegierten Fähigkeiten und Geräten. Docker ist für das spätere Host-Beschränkungs- und Zugriffsurteil verantwortlich.
Die Implementierung der Sicherheitskonsequenz zeigt auch, dass eine separate Sicherheitseffektgrenze darin besteht, dass --privileged ohne Sicherheitsvermerk zu privilegiert wahr wird. Teilen Sie die Verantwortlichkeiten mit den geringsten Privilegien auf: Bei der Konvertierung werden Geräte mit privilegierten Funktionen geschrieben, das Repository entfernt Geheimnisse und Bediener validieren die Host-Beschränkung und den Host-Zugriff.
Was dies nicht abdeckt – GPU-Zugriff, benutzerdefinierte Seccomp-Profile und Kubernetes-Sicherheitskontexte
Was dies nicht abdeckt – GPU-Zugriff, benutzerdefinierte Seccomp-Profile und Kubernetes-Sicherheitskontexte. Beweis: GPU-Reservierung und benutzerdefinierte Profile werden nicht generiert. Beschränken Sie den Bereich mit den geringsten Berechtigungen auf die hier gezeigten Gerätezweige mit privilegierten Funktionen. Benachbarte Formulare und Standardeinstellungen können Fragen zur Hostbeschränkung und zum Zugriff nicht beantworten.
Eine weitere Sicherheitsbereichsbeschränkung ergibt sich aus einer separaten Sicherheitsbeschränkungsgrenze, die darin besteht, dass Auswirkungen auf die Hostbeschränkung nicht aus dem Befehlstext aufgezählt werden können. Behandeln Sie diese Grenze der geringsten Privilegien als Ausschluss. Bevorzugen Sie präzise Geräte mit privilegierten Funktionen gegenüber Vermutungen über Host-Beschränkung und Zugriff.
Berechtigung ist sichtbar, wenn sie zugeordnet ist, aber ein nicht unterstützter Gerätezugriff bleibt eine Warnung und kein generierter Schlüssel
Takeaway: Privilegien sollten explizit und minimal sein – und der Konverter macht sie als Schlüssel sichtbar, die Sie hinterfragen können. Beweis: Geringste Privilegien erfordern menschliches Design, das über die Konvertierung hinausgeht; Die Berechtigung ist bei der Zuordnung sichtbar, aber ein nicht unterstützter Gerätezugriff bleibt eine Warnung und kein generierter Schlüssel. Überwachen Sie die geringste Berechtigung als Quelloption, Modellfeld, Gerätezeile mit privilegierten Funktionen und Warnung. Entfernen Sie Geheimnisse, bevor Sie die Host-Einschränkung und den Host-Zugriff überprüfen.
Schließlich bestätigt die Sicherheits-Takeaway-Quelle, dass der ursprüngliche Befehl für diesen Sicherheitsabschnitt beibehalten wird, und warnt neben dieser Kandidatendatei für diesen Sicherheitsabschnitt, dass die Sicherheits-Takeaway-Schlussfolgerung die Überprüfbarkeit für diesen Sicherheitsabschnitt verbessert, ohne eine Äquivalenz-Shell für diesen Sicherheitsabschnitt zu versprechen. Das Parsen bleibt außerhalb der Sicherheits-Takeaway-Garantie. Geringste Berechtigung eng schließen: Geräte mit privilegierten Fähigkeiten sind ein Kandidat; Host-Beschränkung und -Zugriff sowie Shell-Äquivalenz sind keine Garantien.