容器安全 - 不要以root用户在容器内运行

╰半夏微凉° 2023-01-07 10:24 213阅读 0赞

### 文章目录 ###

*  容器安全 - 不要以root用户在容器内运行
 *   *  不要以root用户在容器内运行
     *  查看容器内运行的用户
     *  指定容器内运行的用户
     *  为什么不要以root用户在容器内运行
     *   *  安全原则
         *  安全假设
         *  安全风险
     *  参考文档

# 容器安全 - 不要以root用户在容器内运行 #

## 不要以root用户在容器内运行 ##

> As a best practice, run your containers as a non-root user (UID not 0).
> 
> By default, containers run with root privileges as the root user inside the container.

容器安全最佳实践中的一条是，不要以root用户在容器内运行。

而Docker容器内默认以root用户运行。

当然这一点也不能怪Docker，我们在云供应商租赁一台虚拟机（ECS）时，默认也是以root用户运行。

## 查看容器内运行的用户 ##

以Spring Boot应用的一个简单的Dockerfile为例：

FROM openjdk:8-jdk-alpine
    ARG JAR_FILE=target/*.jar
    COPY ${JAR_FILE} app.jar
    ENTRYPOINT ["java","-jar","/app.jar"]

构建jar包：

mvn clean install

构建镜像：

docker build -t william/springboot-docker .

运行容器：

docker run --name springboot-docker --rm -p 8080:8080 william/springboot-docker

查看容器内运行的用户：

docker exec -it springboot-docker whoami

结果为`root`，也就是说Docker容器内默认以`root`用户运行。

## 指定容器内运行的用户 ##

在Dockerfile中创建用户和用户组，并指定以该用户和用户组运行。

FROM openjdk:8-jdk-alpine
    RUN addgroup -S spring && adduser -S spring -G spring
    USER spring:spring
    ARG JAR_FILE=target/*.jar
    COPY ${JAR_FILE} app.jar
    ENTRYPOINT ["java","-jar","/app.jar"]

重新构建镜像和运行容器。

查看容器内运行的用户：

docker exec -it springboot-docker whoami

结果为`spring`， 说明容器内当前运行的用户为`spring`。

## 为什么不要以root用户在容器内运行 ##

### 安全原则 ###

最小权限原则：如果不是必须以root用户运行，就不要以root用户运行。

### 安全假设 ###

我们很容易地错误地假设容器是“完全”隔离的，在一个容器中做的事情，不会影响到其他容器，也不会影响到宿主机。就像我们在云供应商上租用一个虚拟机（ECS）不会担心会被其他人的虚拟机影响到。

但是相比虚拟机的隔离，容器的隔离是比较弱的。这就意味着，在一个容器内做的危险操作，可能会影响到其他容器，甚至影响到宿主机。这种突破容器的隔离性的行为也叫容器逃逸（container escape）。

如果容器内以root用户运行，就会使得恶意攻击变得更加容易。

### 安全风险 ###

如果以root用户在容器内运行会有什么问题？

*  可能被利用来在容器内安装恶意软件或攻击工具。
 *  增加容器逃逸（container escape）的风险。
 *  增加利用容器基础镜像的操作系统内核漏洞攻击的风险。

## 参考文档 ##

*  [Docker Container Security 101: Risks and 33 Best Practices][Docker Container Security 101_ Risks and 33 Best Practices]
 *  [Do Not Run Dockerized Applications as Root][]
 *  [Spring Boot with Docker][]
 *  [Docker security][]
 *  [容器逃逸技术概览][Link 1]
 *  [Container Security Explained][]

[Docker Container Security 101_ Risks and 33 Best Practices]: https://www.stackrox.com/post/2019/09/docker-security-101/
[Do Not Run Dockerized Applications as Root]: https://americanexpress.io/do-not-run-dockerized-applications-as-root/
[Spring Boot with Docker]: https://spring.io/guides/gs/spring-boot-docker/
[Docker security]: https://docs.docker.com/engine/security/
[Link 1]: https://wohin.me/rong-qi-tao-yi-gong-fang-xi-lie-yi-tao-yi-ji-zhu-gai-lan/
[Container Security Explained]: https://www.youtube.com/watch?v=b_euX_M82uI