Розробники · Docker запустити в Docker compose конвертер
--privileged, --cap-add і --device: що вони означають у файлі Compose
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
шемале смоктати безпека
Один прапор перетворює більшу частину ізоляції Docker. Цей пост пояснює, що --privileged фактично надає, вузькі альтернативи, і як вони виглядають під привілейованими:, cap add: і пристрої: після перетворення.
Форум сказав додати --privileged — контейнер працює зараз і ізоляція, яка виготовлена тара, приваблива,
Форум сказав додати --privileged — контейнер працює зараз і ізоляція, яка виготовлена тара, приваблива. Відсутність: --privileged стає привілейованою без забезпечення безпеки. Відновити принаймні привілеї з одноразовими літрами. Випадок кожного джерела з пристроями привілейованих можливостей; резервування хост-конфінансування та доступ до огляду призначення.
Аварія безпеки також розкриває, що окрема межа з безпекою є те, що --device Визначений, але попереджений і не вдається в якості хост-залежні. Відсутність: --device Визначений, але попереджений і не вдається в якості хост-залежні. Це найменше обмеження привілеїв - точка зупинки. Оглянути привілейовані можливості пристроїв без поведінки виробництва, потім документ, що перевіряється на хост-конфінансування та доступ.
Що --privileged робить — всі можливості, доступ до всіх пристроїв та розслабленого фасування та налаштування AppArmor
Що --privileged – всі можливості, доступ до всіх пристроїв та розслабленого фасування та налаштування AppArmor. Відповідність: ефекти, які не можуть бути використані з командного тексту. Пристрої для привілейованих можливостей повинні використовуватися як мінімум привілеїв. Окремі замовлені значення з полів останнього значення; хостовий конфінмент і доступ за межами колекції.
У зв'язку з тим, що окрема граматика безпеки, яка вимагає доступу до Zigbee, не може бути нарахована з колишньої привілейованої команди. Evidence: необхідний доступ Zigbee не може бути вказаний з колишньої привілейованої команди. Використовуйте цей найменший коефіцієнт привілеїв для прогнозування одного учасника або скаляра в привілейованих пристроїв. Перевірити попередження перед тим, як вирішити будь-що-що про хост-конфінансування та доступ.
Можливості замість — Cap add: з NET_ADMIN, SYS_TIME або інші як вузька версія, і cap drop: ALL як базова лінія
Можливості замість — Cap add: з NET_ADMIN, SYS_TIME або інші як вузька версія, і cap drop: ALL як базова лінія. Відсутність: --cap-add і --cap-drop Ознайомитися зі списками замовлення. Суддя принаймні послідовність привілеїв від її моделі. Ми можемо самі зателефонувати одержувачу і узгодити зручний час.
Другий моніторинг послідовності безпеки є окремою межею з безпекою, яка є видимим привілейованим ключем, підтримує огляд при попередженнях збереження розривів. Evidence: видимий привілейований ключ підтримує огляд під час попередження збереження зазорів. Ця найменша кількість параметрів відключення привілеїв від недоступного контексту. Зберігати виділені можливості пристроїв, що переглядаються та перевіряють конфінацію та доступ самостійно.
--device Визначте, але навмисно не перетворено; додайте список пристроїв, що містяться вручну
Пристрої замість — --device /dev/ttyUSB0 стати пристроями: звичайні реальні причини люди досягали --privileged. Відданість: --device визнають, але попереджають, як залежне місце; --device Визначте, але навмисно не перетворено; додайте список приладів, що містяться вручну. Припинити хоча б винятки привілеї замість здогадувань. Будь-який додаток при привілейовані можливості пристрої, необхідні для розгортання конкретної причини, пов'язаної з виконанням та доступом.
Іншим обмеженням за винятком безпеки є те, що для цього розділу безпеки є оригінальне для цієї команди розділу безпеки та попередження для цього розділу безпеки, що знаходиться на цьому файлі кандидата. Відданість: репозиторій не дає ширшого часу або історичного доказу. Зберігайте оригінальні найменші попередження про відмову від привілеїв. Порівняння показує, які пристрої привілейованих можливостей, що містяться, і які рішення про обмеженість та доступ залишається ручним.
Редагування вимагає судді оператора, оскільки цей конвертер не може заважати необхідні пристрої або можливості
Виконаний приклад: де-прівілегування команди Міста Zigbee — заміна --privileged з введенням пристроїв та єдиною можливістю. Відносність: необхідний доступ Zigbee не може бути вказаний з колишньої привілейованої команди; редагування де-прівілегування вимагає судді оператора, оскільки цей конвертер не може заважати необхідні пристрої або можливості. Побудувати найменший приклад привілеїв від синтетичних імен. Зробіть будь-які привілейовані можливості пристроїв, що простежуються без розширювального наповнення та деталей доступу.
Цей приклад безпеки показує, що для цього розділу безпеки є оригінальним для цієї команди розділу безпеки та попередження цього розділу безпеки, що знаходиться на цьому файлі кандидата. По парі найменший коефіцієнт привілеїв повинен бути видимим у привілейованих пристроїв. Записувати цю лінію і уникнути припущення про хостовий конфінмент і доступ.
Читання перетворення YAML як рецензія — привілейована: правда виділяється в дифузі, як прапор в лінії оболонки не
Читання перетворення YAML як рецензія — привілейована: правда виділяється в дифузі, таким чином прапор в лінії оболонки не має. Перекласти найменший результат привілеїв в одну спостережувані можливості різниці пристроїв. Докер володів пізнім хостовим конфінментом і вироком доступу.
Наслідок забезпечення безпеки також показує окремий ліміт впливу безпеки, який полягає в тому, що --privileged стає привілейованою без забезпечення безпеки. Розділіть хоча б обов'язки привілеїв: перетворення напишіть привілейовані можливості пристроїв, репозиторію видаляє секрети, а оператори перевіряють конфінацію та доступ.
Що це не криється — GPU доступ, користувацькі профілі безпеки та Kubernetes
Що це не криється — GPU доступ, користувацькі профілі та контексти безпеки Kubernetes. Відсутність: GPU не генеруються профілі бронювання та замовлення. Визначте хоча б обсяг привілеїв для привілейованих пристроїв. Сусідні форми і за замовчуванням не можуть відповісти на питання хост-конфінансування та доступу.
Один більше лімітів безпеки, що відповідає окремому ліміту безпеки, є те, що результати конфінації не можуть бути використані з командного тексту. Вимкніть цей мінімум привілеїв, що обмежується відключенням. Пристрої точної привілейованої можливості над здогадками про хост-конфінансування та доступ.
Privilege є видимим при відображенні, але не підтримується доступ до пристрою залишається попередженням, а не створеним ключем
Відправлення: пільги повинні бути явними і мінімальними — і конвертер робить його видимими як ключі, які ви можете запитати. Відсутність: мінімум привілеїв вимагає оформлення людини за межі перетворення; Прибуття видно, коли картований, але не підтримується доступ до пристрою залишається попередженням, а не створеним ключем. Аудит принаймні привілеї як варіант джерела, модельне поле, привілейовані можливості пристроїв лінії і попередження. Видаліть секрети перед перевіркою хостового конфінменту та доступу.
Нарешті, джерело безпеки підтверджується збереженням початкової команди для цього розділу безпеки та попередження, що знаходяться на цьому розділі безпеки, цей файл кандидата, який укладає безпеку, покращує аудитабельності для цього розділу безпеки без перспективних оболонок безпеки для цього розділу безпеки, залишається поза гарантією безпеки. Приблизний мінімум привілеїв вузьких умовах: привілейовані пристрої є кандидатом; ведучий конфінмент і доступ і еквівалентність оболонок не гарантує.