Docker 容器隔离关键技术：SELinux

Docker 容器隔离关键技术：SELinux

SELinux（Security-Enhanced Linux） 是 Linux 内核中的一项安全机制，用于实现强制访问控制（MAC）。Docker 利用了 SELinux 来增强容器的隔离性，通过对文件、进程、资源打标签并设置访问规则，防止容器之间以及容器与宿主机之间的资源越界访问。

在生产环境中，SELinux 是一项重要的隔离技术，但要注意，它并不孤立，还需要与**自主访问控制（DAC）**等机制一起协同工作。

---

什么是 SELinux？

通俗比喻

假设你是一家公司的管理员（宿主机），公司有许多员工（容器）在不同部门（进程）。这些员工在工作时需要访问资料（文件、资源）。为确保公司安全：

• 你给每位员工分发了钥匙（传统文件权限 DAC）。
• 但即使有钥匙，你还规定必须佩戴工牌（SELinux 标签）才能进入特定房间。
• 某些特别敏感的资料，只允许高级别员工访问（SELinux 规则定义）。

SELinux 就是这套“工牌+规则”系统：

1. 钥匙（DAC）解决了“有权限才能尝试打开房间”。
2. 工牌（SELinux）规定“即使有钥匙，也要有正确的工牌”。

---

SELinux 的作用

1. 强制访问控制（MAC）：

   • 即使容器通过了传统的权限检查（DAC，如读写权限），也必须符合 SELinux 的标签规则才能访问资源。

2. 增强隔离性：

   • 每个容器都有独立的标签，限制其只能访问指定资源，防止容器互相干扰或攻击宿主机。

3. 控制挂载资源访问（Volume 独占挂载）：

   • SELinux 会给挂载到容器中的 Volume 目录打上标签，确保容器只能访问自己的挂载点，防止越界访问。

4. 限制特权容器的访问：

   • SELinux 在非特权容器中生效，但对于特权容器（--privileged 模式），SELinux 会被禁用。

---

SELinux 与 DAC 的结合

什么是 DAC（自主访问控制）？

• DAC（Discretionary Access Control） 是 Linux 的传统访问控制机制，基于用户、组、和文件权限（如 rw-r--r--）。
• DAC 决定了哪些用户可以尝试访问资源（如读写文件）。

SELinux 和 DAC 的关系

• DAC 是第一道检查：当容器访问资源时，DAC 首先检查该操作是否符合文件权限。
• SELinux 是第二道检查：如果 DAC 允许，SELinux 会进一步检查访问是否符合标签规则。

比喻：

• DAC 是钥匙：允许你尝试打开门。
• SELinux 是工牌：即使你有钥匙，也必须有正确的工牌才能进入。

---

SELinux 的工作方式

1. SELinux 标签（安全上下文）

   • 每个进程、文件、目录都会被打上一个 SELinux 标签，称为安全上下文（Security Context）。
   • 安全上下文包含三个部分：用户、角色、类型。

     system_u:object_r:container_file_t:s0
     

     • system_u：用户，表示系统用户。
     • object_r：角色，表示对象角色。
     • container_file_t：类型，表示该文件属于容器文件类型。

2. SELinux 策略

   • SELinux 通过策略文件定义哪些进程可以访问哪些资源。例如：
     • container_t 类型的进程只能访问 container_file_t 类型的文件。
     • 非 container_t 类型进程无法访问这些资源。

---

SELinux 在 Docker 中的应用

1. 启用 SELinux

确保宿主机的 SELinux 功能已启用，可以通过以下命令查看：

getenforce

• Enforcing：SELinux 正在强制执行规则。
• Permissive：SELinux 仅记录违规行为，不阻止操作。
• Disabled：SELinux 已禁用（不推荐）。

编辑 Docker 配置文件（/etc/docker/daemon.json），启用 SELinux 支持：

{"selinux-enabled": true
}

重启 Docker：

systemctl restart docker

---

2. 挂载资源的独占访问（Volume 独占挂载）

当容器挂载宿主机目录时，SELinux 会为挂载点打上独特标签，确保该目录只能被挂载的容器访问，其他容器无权访问。例如：

docker run -v /host/data:/data:Z -it ubuntu

• :Z：告诉 Docker 设置 SELinux 标签，确保挂载点的安全。

---

3. 特权容器的限制

特权容器（Privileged Container） 是 Docker 中一种特殊模式，通过 --privileged 参数启动：

docker run --privileged -it ubuntu

特点：

• 特权容器绕过了所有 SELinux 限制，标签规则不会生效。
• 容器内的进程可以直接访问宿主机的所有设备和资源。

安全风险：

• 特权容器本质上等同于宿主机的 root 用户，任何漏洞都会危及宿主机安全。
• 建议仅在测试或特定需求场景中使用特权容器。

---

SELinux 的优点

1. 细粒度控制：

   • 通过标签和策略，严格限制容器的访问范围。

2. 动态调整：

   • 文件和进程标签根据任务动态分配，减少人为配置复杂性。

3. 多层防护：

   • 与 DAC、Capabilities、Seccomp 等机制结合，提供全面保护。

---

SELinux 的局限性

1. 复杂性：

   • 配置和调试 SELinux 规则需要一定的学习成本。

2. 性能开销：

   • 每次访问都需要检查标签规则，可能会稍微增加 I/O 开销。

3. 特权容器绕过限制：

   • 如果使用 --privileged 启动容器，SELinux 将完全失效。

---

SELinux 与其他隔离技术的对比

特性	SELinux	DAC	Seccomp	Capabilities
作用范围	文件、进程、网络等资源访问隔离	文件权限检查	系统调用限制	高权限操作限制
强制性	强制访问控制（MAC）	自主访问控制（用户可修改权限）	按系统调用进行白名单或黑名单过滤	限制特定权限
适用场景	防止容器间或容器与宿主机资源冲突	用户级文件操作管理	禁止危险的系统调用	禁用容器中的高风险操作

---

最佳实践

1. 启用 SELinux：

   • 确保宿主机的 SELinux 处于 Enforcing 模式，Docker 的 SELinux 支持已开启。

2. 使用 :Z 标签挂载 Volume：

   • 挂载宿主机目录时，确保使用 SELinux 标签限制容器的访问范围。

3. 避免使用特权容器：

   • 特权容器会绕过 SELinux 的所有限制，建议尽量避免使用。

4. 结合其他机制：

   • 将 SELinux 与 DAC、Capabilities、Seccomp 等技术结合，形成多层防护。

---

总结

SELinux 是 Docker 容器中一项重要的隔离技术，通过标签和规则，它可以：

• 限制容器对资源的访问。
• 增强容器之间的隔离性。
• 防止容器攻破后越界访问宿主机。

但是，SELinux 需要与 DAC 等传统权限机制配合使用，并且对特权容器无效。在生产环境中，合理配置 SELinux 是保障容器安全的关键之一。