Docker 容器隔离关键技术:SELinux
Docker 容器隔离关键技术:SELinux
SELinux(Security-Enhanced Linux) 是 Linux 内核中的一项安全机制,用于实现强制访问控制(MAC)。Docker 利用了 SELinux 来增强容器的隔离性,通过对文件、进程、资源打标签并设置访问规则,防止容器之间以及容器与宿主机之间的资源越界访问。
在生产环境中,SELinux 是一项重要的隔离技术,但要注意,它并不孤立,还需要与**自主访问控制(DAC)**等机制一起协同工作。
什么是 SELinux?
通俗比喻
假设你是一家公司的管理员(宿主机),公司有许多员工(容器)在不同部门(进程)。这些员工在工作时需要访问资料(文件、资源)。为确保公司安全:
- 你给每位员工分发了钥匙(传统文件权限 DAC)。
- 但即使有钥匙,你还规定必须佩戴工牌(SELinux 标签)才能进入特定房间。
- 某些特别敏感的资料,只允许高级别员工访问(SELinux 规则定义)。
SELinux 就是这套“工牌+规则”系统:
- 钥匙(DAC)解决了“有权限才能尝试打开房间”。
- 工牌(SELinux)规定“即使有钥匙,也要有正确的工牌”。
SELinux 的作用
-
强制访问控制(MAC):
- 即使容器通过了传统的权限检查(DAC,如读写权限),也必须符合 SELinux 的标签规则才能访问资源。
-
增强隔离性:
- 每个容器都有独立的标签,限制其只能访问指定资源,防止容器互相干扰或攻击宿主机。
-
控制挂载资源访问(Volume 独占挂载):
- SELinux 会给挂载到容器中的 Volume 目录打上标签,确保容器只能访问自己的挂载点,防止越界访问。
-
限制特权容器的访问:
- SELinux 在非特权容器中生效,但对于特权容器(
--privileged
模式),SELinux 会被禁用。
- SELinux 在非特权容器中生效,但对于特权容器(
SELinux 与 DAC 的结合
什么是 DAC(自主访问控制)?
- DAC(Discretionary Access Control) 是 Linux 的传统访问控制机制,基于用户、组、和文件权限(如
rw-r--r--
)。 - DAC 决定了哪些用户可以尝试访问资源(如读写文件)。
SELinux 和 DAC 的关系
- DAC 是第一道检查:当容器访问资源时,DAC 首先检查该操作是否符合文件权限。
- SELinux 是第二道检查:如果 DAC 允许,SELinux 会进一步检查访问是否符合标签规则。
比喻:
- DAC 是钥匙:允许你尝试打开门。
- SELinux 是工牌:即使你有钥匙,也必须有正确的工牌才能进入。
SELinux 的工作方式
-
SELinux 标签(安全上下文)
- 每个进程、文件、目录都会被打上一个 SELinux 标签,称为安全上下文(Security Context)。
- 安全上下文包含三个部分:用户、角色、类型。
system_u:object_r:container_file_t:s0
system_u
:用户,表示系统用户。object_r
:角色,表示对象角色。container_file_t
:类型,表示该文件属于容器文件类型。
-
SELinux 策略
- SELinux 通过策略文件定义哪些进程可以访问哪些资源。例如:
container_t
类型的进程只能访问container_file_t
类型的文件。- 非
container_t
类型进程无法访问这些资源。
- SELinux 通过策略文件定义哪些进程可以访问哪些资源。例如:
SELinux 在 Docker 中的应用
1. 启用 SELinux
确保宿主机的 SELinux 功能已启用,可以通过以下命令查看:
getenforce
Enforcing
:SELinux 正在强制执行规则。Permissive
:SELinux 仅记录违规行为,不阻止操作。Disabled
:SELinux 已禁用(不推荐)。
编辑 Docker 配置文件(/etc/docker/daemon.json
),启用 SELinux 支持:
{"selinux-enabled": true
}
重启 Docker:
systemctl restart docker
2. 挂载资源的独占访问(Volume 独占挂载)
当容器挂载宿主机目录时,SELinux 会为挂载点打上独特标签,确保该目录只能被挂载的容器访问,其他容器无权访问。例如:
docker run -v /host/data:/data:Z -it ubuntu
:Z
:告诉 Docker 设置 SELinux 标签,确保挂载点的安全。
3. 特权容器的限制
特权容器(Privileged Container) 是 Docker 中一种特殊模式,通过 --privileged
参数启动:
docker run --privileged -it ubuntu
特点:
- 特权容器绕过了所有 SELinux 限制,标签规则不会生效。
- 容器内的进程可以直接访问宿主机的所有设备和资源。
安全风险:
- 特权容器本质上等同于宿主机的 root 用户,任何漏洞都会危及宿主机安全。
- 建议仅在测试或特定需求场景中使用特权容器。
SELinux 的优点
-
细粒度控制:
- 通过标签和策略,严格限制容器的访问范围。
-
动态调整:
- 文件和进程标签根据任务动态分配,减少人为配置复杂性。
-
多层防护:
- 与 DAC、Capabilities、Seccomp 等机制结合,提供全面保护。
SELinux 的局限性
-
复杂性:
- 配置和调试 SELinux 规则需要一定的学习成本。
-
性能开销:
- 每次访问都需要检查标签规则,可能会稍微增加 I/O 开销。
-
特权容器绕过限制:
- 如果使用
--privileged
启动容器,SELinux 将完全失效。
- 如果使用
SELinux 与其他隔离技术的对比
特性 | SELinux | DAC | Seccomp | Capabilities |
---|---|---|---|---|
作用范围 | 文件、进程、网络等资源访问隔离 | 文件权限检查 | 系统调用限制 | 高权限操作限制 |
强制性 | 强制访问控制(MAC) | 自主访问控制(用户可修改权限) | 按系统调用进行白名单或黑名单过滤 | 限制特定权限 |
适用场景 | 防止容器间或容器与宿主机资源冲突 | 用户级文件操作管理 | 禁止危险的系统调用 | 禁用容器中的高风险操作 |
最佳实践
-
启用 SELinux:
- 确保宿主机的 SELinux 处于
Enforcing
模式,Docker 的 SELinux 支持已开启。
- 确保宿主机的 SELinux 处于
-
使用
:Z
标签挂载 Volume:- 挂载宿主机目录时,确保使用 SELinux 标签限制容器的访问范围。
-
避免使用特权容器:
- 特权容器会绕过 SELinux 的所有限制,建议尽量避免使用。
-
结合其他机制:
- 将 SELinux 与 DAC、Capabilities、Seccomp 等技术结合,形成多层防护。
总结
SELinux 是 Docker 容器中一项重要的隔离技术,通过标签和规则,它可以:
- 限制容器对资源的访问。
- 增强容器之间的隔离性。
- 防止容器攻破后越界访问宿主机。
但是,SELinux 需要与 DAC 等传统权限机制配合使用,并且对特权容器无效。在生产环境中,合理配置 SELinux 是保障容器安全的关键之一。
相关文章:
Docker 容器隔离关键技术:SELinux
Docker 容器隔离关键技术:SELinux SELinux(Security-Enhanced Linux) 是 Linux 内核中的一项安全机制,用于实现强制访问控制(MAC)。Docker 利用了 SELinux 来增强容器的隔离性,通过对文件、进程…...

Java并发07之ThreadLocal
文章目录 1 ThreadLocal原理2 内部结构3 内存泄露问题4 entry的key为什么被设计为弱引用 1 ThreadLocal原理 ThreadLocal类用来提供线程内部的局部变量。这种变量在多线程环境下访问时能保证各个线程的变量相对独立于其他线程内的变量。ThreadLocal实例通常来说都是private st…...

【单细胞数据库】癌症单细胞数据库CancerSEA
数据库地址:home (hrbmu.edu.cn) Cite Huating Yuan, Min Yan, Guanxiong Zhang, Wei Liu, Chunyu Deng, Gaoming Liao, Liwen Xu, Tao Luo, Haoteng Yan, Zhilin Long, Aiai Shi, Tingting Zhao, Yun Xiao, Xia Li, CancerSEA: a cancer single-cell state atlas…...
Rsa加解密 + 签名验签
Rsa加解密 概述聚合算法名称(用于创建加密器)基本概念填充方式分块加密 基本使用生成密钥加解密创建加密器设置模式(加密)、公钥对明文加密,并对结果进行Base64编码对以上结果,进行解密 设置模式࿰…...

bugku-web-留言板1
大小写绕过也不行 <ScRipt>ALeRt(“XSS”);</sCRipT> 双写绕过可以 <scscriptript>alert(z)</scscriptript> 改变大小写 在测试过程中,我们可以改变测试语句的大小写来绕过XSS规则: 比如:<script>alert(“xs…...

进程状态的学习
进程状态就是 task_struct 内的一个整数 状态间是可以进行转化的 运行: 每一个框都是进程的task_struct,都有唯一的pcb和pid来标识它的唯一性 让CPU选择一个进程去运行,本质是选择一个进程的PCB去运行,task_struct里一定有内存指…...

Vue 2.0->3.0学习笔记(Vue 3 (四)- Composition API 的优势)
Vue 2.0->3.0学习笔记(Vue 3 (四)- Composition API 的优势) Composition API 的优势1. Options API 存在的问题2. Composition API 的优势 Composition API 的优势 1. Options API 存在的问题 笔记 使用传统OptionsA…...
close and shutdown?
背景:我们要讲述的是网络编程中常用的两个API: #include <unistd.h> int close(int fd); #include <sys/socket.h> int shutdown(int sockfd, int how); 以及TCP的半连接,半打开。 shutdown函数的行为依赖第二个参数区分…...
PostgreSQL + hasura + Apollo + GraphQL + React + Antd
技术栈 PostgreSQL hasura Apollo GraphQL React Antd 适用于复杂的查询,快速开发 环境安装 安装PostgreSQL hasura,使用docker安装 使用 Docker Compose 部署时,它会同时启动两个容器PostgreSQL和 Hasura GraphQL ,如下 version: "3.6" serv…...
Android笔记【10】
一、前言 学习课程时,对于自己不懂的点的记录。 二、内容 学习一段代码: val drawerState rememberDrawerState(DrawerValue.Closed)val scope rememberCoroutineScope()Scaffold (topBar{TopAppBar(navigationIcon {IconButton(onClick {scope.lau…...

Leetcode打卡:N皇后
执行结果:通过 题目:51 N皇后 按照国际象棋的规则,皇后可以攻击与之处在同一行或同一列或同一斜线上的棋子。 n 皇后问题 研究的是如何将 n 个皇后放置在 nn 的棋盘上,并且使皇后彼此之间不能相互攻击。 给你一个整数 n &#…...

Linux内核4.14版本——ccf时钟子系统(3)——ccf一些核心结构体
目录 1. struct clk_hw 2. struct clk_ops 3. struct clk_core 4. struct clk_notifier 5. struct clk 6. struct clk_gate 7. struct clk_divider 8. struct clk_mux 9. struct clk_fixed_factor 10. struct clk_fractional_divider 11. struct clk_multiplier 12…...

[Deep Learning] 深度学习中常用函数的整理与介绍(pytorch为例)
文章目录 深度学习中常用函数的整理与介绍常见损失函数1. L2_loss | nn.MSELoss()公式表示:特点:应用:缺点:主要参数:示例用法:注意事项: 2. L1 Loss | nn.L1Loss数学定义:特点&…...
【ETCD】etcd简单入门之单节点部署etcd
etcd 是一个分布式可靠的键值存储系统,用于分布式系统中最关键的数据,主要特点包括: 简单:具有明确的、面向用户的 API(gRPC) 安全:自动 TLS 支持,并可选的客户端证书认证 快速&am…...
Cadence基础语法
03-Cadence基础语法 0 Cadence基础语法入门:流程编排语言的新星 Cadence是由Uber开发的一种领域特定语言(Domain-Specific Language,DSL),专门用于编写可扩展的长时间运行的业务流程。它是Temporal工作流引擎的核心组…...

GAMES101虚拟机使用教程与探讨
写在前面 环境配置请参考作业0的pdf,本文章主要对于配置好环境后怎么使用以及遇到的问题进行探讨(要是有更方便的使用方式欢迎在评论区讨论),自己刚开始用的时候也折腾了好久,希望能为后来学习的小伙伴节约一点工具使…...

王道考研编程题总结
我还在完善中,边复习边完善(这个只是根据我自身总结的) 一、 线性表 1. 结构体 #define MaxSize 40 typedef struct{ElemType data[MaxSize];int length; }SqList 2. 编程题 1. 删除最小值 题意 :从顺序表中删除…...
算法2--滑动窗口
滑动窗口 滑动窗口经典例题长度最小的子数组无重复字符的最长子串[最大连续1的个数 III](https://leetcode.cn/problems/max-consecutive-ones-iii/description/)[将 x 减到 0 的最小操作数](https://leetcode.cn/problems/minimum-operations-to-reduce-x-to-zero/description…...

pycharm或conda中配置镜像源
文章目录 1. 为什么要配置镜像源2. pycharm配置2.1使用pip配置国内镜像源2.2 Pycharm中更改镜像源 3.conda配置镜像源3.1 使用conda命令3.2 文件所在位置(进行增删)3.3 conda常用的几个命令 参考文献 1. 为什么要配置镜像源 由于Python在下载包时&#…...
C#基础之方法
文章目录 1 方法1.1 定义方法1.2 参数传递1.2.1 按值传递参数1.2.2 按引用传递参数1.2.3 按输出传递参数1.2.4 可变参数 params1.2.5 具名参数1.2.6 可选参数 1.3 匿名方法1.3.1 Lambda 表达式1.3.1.1 定义1.3.1.2 常用类型1.3.1.3 Lambda 表达式与 LINQ1.3.1.4 Lambda 表达式的…...
Vim 调用外部命令学习笔记
Vim 外部命令集成完全指南 文章目录 Vim 外部命令集成完全指南核心概念理解命令语法解析语法对比 常用外部命令详解文本排序与去重文本筛选与搜索高级 grep 搜索技巧文本替换与编辑字符处理高级文本处理编程语言处理其他实用命令 范围操作示例指定行范围处理复合命令示例 实用技…...
ES6从入门到精通:前言
ES6简介 ES6(ECMAScript 2015)是JavaScript语言的重大更新,引入了许多新特性,包括语法糖、新数据类型、模块化支持等,显著提升了开发效率和代码可维护性。 核心知识点概览 变量声明 let 和 const 取代 var…...

微软PowerBI考试 PL300-选择 Power BI 模型框架【附练习数据】
微软PowerBI考试 PL300-选择 Power BI 模型框架 20 多年来,Microsoft 持续对企业商业智能 (BI) 进行大量投资。 Azure Analysis Services (AAS) 和 SQL Server Analysis Services (SSAS) 基于无数企业使用的成熟的 BI 数据建模技术。 同样的技术也是 Power BI 数据…...

CMake基础:构建流程详解
目录 1.CMake构建过程的基本流程 2.CMake构建的具体步骤 2.1.创建构建目录 2.2.使用 CMake 生成构建文件 2.3.编译和构建 2.4.清理构建文件 2.5.重新配置和构建 3.跨平台构建示例 4.工具链与交叉编译 5.CMake构建后的项目结构解析 5.1.CMake构建后的目录结构 5.2.构…...

《用户共鸣指数(E)驱动品牌大模型种草:如何抢占大模型搜索结果情感高地》
在注意力分散、内容高度同质化的时代,情感连接已成为品牌破圈的关键通道。我们在服务大量品牌客户的过程中发现,消费者对内容的“有感”程度,正日益成为影响品牌传播效率与转化率的核心变量。在生成式AI驱动的内容生成与推荐环境中࿰…...
将对透视变换后的图像使用Otsu进行阈值化,来分离黑色和白色像素。这句话中的Otsu是什么意思?
Otsu 是一种自动阈值化方法,用于将图像分割为前景和背景。它通过最小化图像的类内方差或等价地最大化类间方差来选择最佳阈值。这种方法特别适用于图像的二值化处理,能够自动确定一个阈值,将图像中的像素分为黑色和白色两类。 Otsu 方法的原…...
数据库分批入库
今天在工作中,遇到一个问题,就是分批查询的时候,由于批次过大导致出现了一些问题,一下是问题描述和解决方案: 示例: // 假设已有数据列表 dataList 和 PreparedStatement pstmt int batchSize 1000; // …...
Go 语言并发编程基础:无缓冲与有缓冲通道
在上一章节中,我们了解了 Channel 的基本用法。本章将重点分析 Go 中通道的两种类型 —— 无缓冲通道与有缓冲通道,它们在并发编程中各具特点和应用场景。 一、通道的基本分类 类型定义形式特点无缓冲通道make(chan T)发送和接收都必须准备好࿰…...
Go语言多线程问题
打印零与奇偶数(leetcode 1116) 方法1:使用互斥锁和条件变量 package mainimport ("fmt""sync" )type ZeroEvenOdd struct {n intzeroMutex sync.MutexevenMutex sync.MutexoddMutex sync.Mutexcurrent int…...

iview框架主题色的应用
1.下载 less要使用3.0.0以下的版本 npm install less2.7.3 npm install less-loader4.0.52./src/config/theme.js文件 module.exports {yellow: {theme-color: #FDCE04},blue: {theme-color: #547CE7} }在sass中使用theme配置的颜色主题,无需引入,直接可…...