Alat pembangun · Docker lari ke Docker compose converter
--privileged, --cap-add dan --device: maksudnya dalam fail Karang
· Mengapa ia penting
pekerja pelabuhan mengarang keselamatan
Satu bendera mematikan kebanyakan pengasingan Docker. Siaran ini menerangkan perkara yang sebenarnya diberikan oleh --privileged, alternatif yang lebih sempit dan cara ia kelihatan di bawah keistimewaan:, cap_add: dan peranti: selepas penukaran.
Forum itu berkata tambahkan --privileged — bekas berfungsi sekarang dan pengasingan yang menjadikan bekas menarik sebahagian besarnya telah hilang
Forum itu berkata tambahkan --privileged — bekas berfungsi sekarang dan pengasingan yang menjadikan bekas menarik sebahagian besarnya telah hilang. Bukti: --privileged menjadi hak istimewa tanpa pengesahan keselamatan. Menghasilkan semula keistimewaan yang paling sedikit dengan literal pakai buang. Gandingkan setiap kejadian sumber dengan peranti keupayaan istimewa; rizab kurungan hos dan akses untuk semakan destinasi.
Insiden keselamatan juga mendedahkan bahawa Sempadan insiden keselamatan yang berasingan ialah --device diiktiraf tetapi diberi amaran dan ditinggalkan sebagai bergantung kepada hos. Bukti: --device diiktiraf tetapi diberi amaran dan ditinggalkan sebagai bergantung kepada hos. Kekangan keistimewaan yang paling sedikit ini adalah titik perhentian. Periksa peranti keupayaan istimewa tanpa tingkah laku pembuatan, kemudian dokumentasikan semakan hos untuk kurungan dan akses hos.
Perkara yang --privileged lakukan — semua keupayaan, akses kepada semua peranti dan sekomp yang santai dan kurungan AppArmor
Apa yang --privileged lakukan — semua keupayaan, akses kepada semua peranti dan sekomp yang santai dan kurungan AppArmor. Bukti: kesan kurungan hos tidak boleh dihitung daripada teks arahan. Jejaki token keistimewaan yang paling sedikit ke dalam peranti keupayaan istimewa. Asingkan nilai tersusun daripada medan nilai terakhir; kurungan hos dan akses adalah di luar koleksi.
Sempadan mekanisme keselamatan yang berkaitan ialah Sempadan tatabahasa keselamatan yang berasingan ialah akses Zigbee yang diperlukan tidak boleh disimpulkan daripada perintah istimewa dahulu. Bukti: akses Zigbee yang diperlukan tidak boleh disimpulkan daripada perintah istimewa dahulu. Gunakan fakta keistimewaan paling rendah ini untuk meramalkan satu ahli atau skalar dalam peranti keupayaan istimewa. Semak amaran sebelum memutuskan apa-apa tentang kurungan dan akses hos.
Sebaliknya, keupayaan — cap_add: dengan NET_ADMIN, SYS_TIME atau lain-lain sebagai versi sempit dan cap_drop: ALL sebagai garis dasar
Sebaliknya, keupayaan — cap_add: dengan NET_ADMIN, SYS_TIME atau lain-lain sebagai versi sempit dan cap_drop: ALL sebagai garis dasar. Bukti: --cap-add dan --cap-drop menjadi senarai tertib yang jelas. Nilaikan siri keistimewaan paling sedikit daripada modelnya. Petikan dalam peranti keupayaan istimewa melindungi jenis tetapi tidak memberikan bukti operasi untuk kurungan dan akses hos.
Pemerhatian siri keselamatan kedua ialah Sempadan keluaran keselamatan yang berasingan ialah kunci istimewa yang boleh dilihat menyokong semakan sementara amaran mengekalkan jurang. Bukti: kunci istimewa yang boleh dilihat menyokong semakan sementara amaran mengekalkan jurang. Output keistimewaan paling rendah ini memisahkan tetapan daripada konteks yang tidak tersedia. Pastikan peranti keupayaan istimewa boleh disemak dan semak kurungan hos dan akses secara bebas.
--device diiktiraf tetapi dengan sengaja tidak ditukar; tambah senarai peranti khusus hos secara manual
Peranti sebaliknya — --device /dev/ttyUSB0 menjadi peranti:, sebab sebenar orang ramai mencapai --privileged. Bukti: --device diiktiraf tetapi diberi amaran dan ditinggalkan sebagai bergantung kepada hos; --device diiktiraf tetapi dengan sengaja tidak ditukar; tambah senarai peranti khusus hos secara manual. Berhenti pada pengecualian keistimewaan sekurang-kurangnya dan bukannya meneka. Sebarang penambahan berhampiran peranti keupayaan istimewa memerlukan sebab khusus penempatan yang dikaitkan dengan kurungan dan akses hos.
Satu lagi kekangan pengecualian keselamatan ialah untuk bahagian keselamatan ini simpan yang asal untuk arahan bahagian keselamatan ini dan amaran untuk bahagian keselamatan ini di sebelah fail calon ini. Bukti: repositori tidak memberikan masa jalan yang lebih luas atau bukti sejarah. Simpan perintah asal yang paling tidak mempunyai keistimewaan di sebelah amaran. Perbandingan menunjukkan keupayaan istimewa yang terkandung dalam peranti dan keputusan kurungan dan akses hos yang kekal manual.
Suntingan deprivilege memerlukan pertimbangan operator kerana penukar ini tidak boleh membuat kesimpulan peranti atau keupayaan yang diperlukan
Contoh yang berjaya: membatalkan keistimewaan arahan jambatan Zigbee — menggantikan --privileged dengan kemasukan peranti dan satu keupayaan. Bukti: akses Zigbee yang diperlukan tidak boleh disimpulkan daripada perintah istimewa dahulu; Suntingan deprivilege memerlukan pertimbangan operator kerana penukar ini tidak boleh membuat kesimpulan peranti atau keupayaan yang diperlukan. Bina contoh keistimewaan yang paling sedikit daripada nama sintetik. Jadikan setiap item peranti keupayaan istimewa boleh dikesan tanpa mendedahkan butiran kurungan hos pengeluaran dan akses.
Contoh contoh keselamatan yang sama menunjukkan bahawa untuk bahagian keselamatan ini simpan yang asal untuk arahan bahagian keselamatan ini dan amaran untuk bahagian keselamatan ini di sebelah fail calon ini. Fakta keistimewaan terkecil yang dipasangkan harus kelihatan dalam peranti keupayaan istimewa. Catatkan baris itu dan elakkan andaian tentang kurungan dan akses hos.
Membaca YAML yang ditukar sebagai ulasan — keistimewaan: benar menonjol dalam perbezaan dengan cara bendera dalam garis shell tidak
Membaca YAML yang ditukar sebagai ulasan — keistimewaan: benar menonjol secara berbeza dengan cara bendera dalam garis shell tidak. Terjemahkan akibat keistimewaan yang paling sedikit kepada satu perbezaan peranti keupayaan istimewa yang boleh dilihat. Docker memiliki kurungan hos kemudian dan keputusan akses.
Pelaksanaan akibat keselamatan juga menunjukkan Sempadan kesan keselamatan yang berasingan ialah --privileged menjadi hak istimewa tanpa pengesahan keselamatan. Pisahkan tanggungjawab keistimewaan paling rendah: penukaran menulis peranti keupayaan istimewa, repositori mengalih keluar rahsia dan pengendali mengesahkan kurungan dan akses hos.
Perkara ini tidak meliputi — akses GPU, profil seccom tersuai dan konteks keselamatan Kubernetes
Perkara ini tidak meliputi — akses GPU, profil seccom tersuai dan konteks keselamatan Kubernetes. Bukti: GPU tempahan dan profil tersuai tidak dijana. Hadkan skop keistimewaan paling sedikit kepada cawangan peranti keupayaan istimewa yang ditunjukkan di sini. Borang jiran dan lalai tidak dapat menjawab soalan kurungan dan akses hos.
Satu lagi had skop keselamatan menyusuli daripada Sempadan had keselamatan yang berasingan ialah kesan kurungan hos tidak boleh dikira daripada teks arahan. Anggap sempadan keistimewaan paling rendah ini sebagai pengecualian. Lebih suka peranti keupayaan istimewa yang tepat berbanding tekaan tentang kurungan hos dan akses.
Keistimewaan boleh dilihat apabila dipetakan, tetapi akses peranti yang tidak disokong kekal sebagai amaran dan bukannya kunci yang dijana
Bawa pulang: keistimewaan harus jelas dan minimum — dan penukar menjadikannya kelihatan sebagai kunci yang boleh anda persoalkan. Bukti: keistimewaan yang paling sedikit memerlukan reka bentuk manusia di luar penukaran; Keistimewaan boleh dilihat apabila dipetakan, tetapi akses peranti yang tidak disokong kekal sebagai amaran dan bukannya kunci yang dijana. Audit keistimewaan paling rendah sebagai pilihan sumber, medan model, talian peranti keupayaan istimewa dan amaran. Alih keluar rahsia sebelum menyemak kurungan dan akses hos.
Akhir sekali, sumber pengambilan keselamatan mengesahkan menyimpan arahan asal untuk bahagian keselamatan ini dan amaran di sebelah bahagian keselamatan ini fail calon ini bahawa kesimpulan ambil balik keselamatan meningkatkan kebolehauditan untuk bahagian keselamatan ini tanpa menjanjikan cangkang kesetaraan untuk penghuraian bahagian keselamatan ini kekal di luar jaminan pengambilan keselamatan. Tutup keistimewaan terkecil secara sempit: peranti keupayaan istimewa adalah calon; kurungan hos dan akses serta kesetaraan shell bukan jaminan.