国产av日韩一区二区三区精品,成人性爱视频在线观看,国产,欧美,日韩,一区,www.成色av久久成人,2222eeee成人天堂

directory search
Compose About versions and upgrading (Compose) ASP.NET Core + SQL Server on Linux (Compose) CLI environment variables (Compose) Command-line completion (Compose) Compose(組成) Compose command-line reference(組合命令行參考) Control startup order (Compose) Django and PostgreSQL (Compose) Docker stacks and distributed application bundles (Compose) docker-compose build(docker-compose構(gòu)建) docker-compose bundle docker-compose config docker-compose create docker-compose down docker-compose events docker-compose exec docker-compose help docker-compose images docker-compose kill docker-compose logs docker-compose pause docker-compose port docker-compose ps docker-compose pull docker-compose push docker-compose restart docker-compose rm docker-compose run docker-compose scale docker-compose start docker-compose stop docker-compose top docker-compose unpause docker-compose up Environment file (Compose) Environment variables in Compose Extend services in Compose Frequently asked questions (Compose) Getting started (Compose) Install Compose Link environment variables (deprecated) (Compose) Networking in Compose Overview of Docker Compose Overview of docker-compose CLI Quickstart: Compose and WordPress Rails and PostgreSQL (Compose) Sample apps with Compose Using Compose in production Using Compose with Swarm Engine .NET Core application (Engine) About images, containers, and storage drivers (Engine) Add nodes to the swarm (Engine) Apply custom metadata (Engine) Apply rolling updates (Engine) apt-cacher-ng Best practices for writing Dockerfiles (Engine) Binaries (Engine) Bind container ports to the host (Engine) Breaking changes (Engine) Build your own bridge (Engine) Configure container DNS (Engine) Configure container DNS in user-defined networks (Engine) CouchDB (Engine) Create a base image (Engine) Create a swarm (Engine) Customize the docker0 bridge (Engine) Debian (Engine) Default bridge network Delete the service (Engine) Deploy a service (Engine) Deploy services to a swarm (Engine) Deprecated Engine features Docker container networking (Engine) Docker overview (Engine) Docker run reference (Engine) Dockerfile reference (Engine) Dockerize an application Drain a node (Engine) Engine FAQ (Engine) Fedora (Engine) Get started (Engine) Get started with macvlan network driver (Engine) Get started with multi-host networking (Engine) How nodes work (Engine) How services work (Engine) Image management (Engine) Inspect the service (Engine) Install Docker (Engine) IPv6 with Docker (Engine) Join nodes to a swarm (Engine) Legacy container links (Engine) Lock your swarm (Engine) Manage nodes in a swarm (Engine) Manage sensitive data with Docker secrets (Engine) Manage swarm security with PKI (Engine) Manage swarm service networks (Engine) Migrate to Engine 1.10 Optional Linux post-installation steps (Engine) Overview (Engine) PostgreSQL (Engine) Raft consensus in swarm mode (Engine) Riak (Engine) Run Docker Engine in swarm mode Scale the service (Engine) SDKs (Engine) Select a storage driver (Engine) Set up for the tutorial (Engine) SSHd (Engine) Storage driver overview (Engine) Store service configuration data (Engine) Swarm administration guide (Engine) Swarm mode key concepts (Engine) Swarm mode overlay network security model (Engine) Swarm mode overview (Engine) Understand container communication (Engine) Use multi-stage builds (Engine) Use swarm mode routing mesh (Engine) Use the AUFS storage driver (Engine) Use the Btrfs storage driver (Engine) Use the Device mapper storage driver (Engine) Use the OverlayFS storage driver (Engine) Use the VFS storage driver (Engine) Use the ZFS storage driver (Engine) Engine: Admin Guide Amazon CloudWatch logs logging driver (Engine) Bind mounts (Engine) Collect Docker metrics with Prometheus (Engine) Configuring and running Docker (Engine) Configuring logging drivers (Engine) Control and configure Docker with systemd (Engine) ETW logging driver (Engine) Fluentd logging driver (Engine) Format command and log output (Engine) Google Cloud logging driver (Engine) Graylog Extended Format (GELF) logging driver (Engine) Journald logging driver (Engine) JSON File logging driver (Engine) Keep containers alive during daemon downtime (Engine) Limit a container's resources (Engine) Link via an ambassador container (Engine) Log tags for logging driver (Engine) Logentries logging driver (Engine) PowerShell DSC usage (Engine) Prune unused Docker objects (Engine) Run multiple services in a container (Engine) Runtime metrics (Engine) Splunk logging driver (Engine) Start containers automatically (Engine) Storage overview (Engine) Syslog logging driver (Engine) tmpfs mounts Troubleshoot volume problems (Engine) Use a logging driver plugin (Engine) Using Ansible (Engine) Using Chef (Engine) Using Puppet (Engine) View a container's logs (Engine) Volumes (Engine) Engine: CLI Daemon CLI reference (dockerd) (Engine) docker docker attach docker build docker checkpoint docker checkpoint create docker checkpoint ls docker checkpoint rm docker commit docker config docker config create docker config inspect docker config ls docker config rm docker container docker container attach docker container commit docker container cp docker container create docker container diff docker container exec docker container export docker container inspect docker container kill docker container logs docker container ls docker container pause docker container port docker container prune docker container rename docker container restart docker container rm docker container run docker container start docker container stats docker container stop docker container top docker container unpause docker container update docker container wait docker cp docker create docker deploy docker diff docker events docker exec docker export docker history docker image docker image build docker image history docker image import docker image inspect docker image load docker image ls docker image prune docker image pull docker image push docker image rm docker image save docker image tag docker images docker import docker info docker inspect docker kill docker load docker login docker logout docker logs docker network docker network connect docker network create docker network disconnect docker network inspect docker network ls docker network prune docker network rm docker node docker node demote docker node inspect docker node ls docker node promote docker node ps docker node rm docker node update docker pause docker plugin docker plugin create docker plugin disable docker plugin enable docker plugin inspect docker plugin install docker plugin ls docker plugin push docker plugin rm docker plugin set docker plugin upgrade docker port docker ps docker pull docker push docker rename docker restart docker rm docker rmi docker run docker save docker search docker secret docker secret create docker secret inspect docker secret ls docker secret rm docker service docker service create docker service inspect docker service logs docker service ls docker service ps docker service rm docker service scale docker service update docker stack docker stack deploy docker stack ls docker stack ps docker stack rm docker stack services docker start docker stats docker stop docker swarm docker swarm ca docker swarm init docker swarm join docker swarm join-token docker swarm leave docker swarm unlock docker swarm unlock-key docker swarm update docker system docker system df docker system events docker system info docker system prune docker tag docker top docker unpause docker update docker version docker volume docker volume create docker volume inspect docker volume ls docker volume prune docker volume rm docker wait Use the Docker command line (Engine) Engine: Extend Access authorization plugin (Engine) Docker log driver plugins Docker network driver plugins (Engine) Extending Engine with plugins Managed plugin system (Engine) Plugin configuration (Engine) Plugins API (Engine) Volume plugins (Engine) Engine: Security AppArmor security profiles for Docker (Engine) Automation with content trust (Engine) Content trust in Docker (Engine) Delegations for content trust (Engine) Deploying Notary (Engine) Docker security (Engine) Docker security non-events (Engine) Isolate containers with a user namespace (Engine) Manage keys for content trust (Engine) Play in a content trust sandbox (Engine) Protect the Docker daemon socket (Engine) Seccomp security profiles for Docker (Engine) Secure Engine Use trusted images Using certificates for repository client verification (Engine) Engine: Tutorials Engine tutorials Network containers (Engine) Get Started Part 1: Orientation Part 2: Containers Part 3: Services Part 4: Swarms Part 5: Stacks Part 6: Deploy your app Machine Amazon Web Services (Machine) Digital Ocean (Machine) docker-machine active docker-machine config docker-machine create docker-machine env docker-machine help docker-machine inspect docker-machine ip docker-machine kill docker-machine ls docker-machine provision docker-machine regenerate-certs docker-machine restart docker-machine rm docker-machine scp docker-machine ssh docker-machine start docker-machine status docker-machine stop docker-machine upgrade docker-machine url Driver options and operating system defaults (Machine) Drivers overview (Machine) Exoscale (Machine) Generic (Machine) Get started with a local VM (Machine) Google Compute Engine (Machine) IBM Softlayer (Machine) Install Machine Machine Machine CLI overview Machine command-line completion Machine concepts and help Machine overview Microsoft Azure (Machine) Microsoft Hyper-V (Machine) Migrate from Boot2Docker to Machine OpenStack (Machine) Oracle VirtualBox (Machine) Provision AWS EC2 instances (Machine) Provision Digital Ocean Droplets (Machine) Provision hosts in the cloud (Machine) Rackspace (Machine) VMware Fusion (Machine) VMware vCloud Air (Machine) VMware vSphere (Machine) Notary Client configuration (Notary) Common Server and signer configurations (Notary) Getting started with Notary Notary changelog Notary configuration files Running a Notary service Server configuration (Notary) Signer configuration (Notary) Understand the service architecture (Notary) Use the Notary client
characters

安全計算模式(seccomp)是Linux內(nèi)核功能。您可以使用它來限制容器內(nèi)可用的操作。該seccomp()系統(tǒng)調(diào)用在調(diào)用進程的狀態(tài)的Seccomp工作。您可以使用此功能來限制您的應用程序的訪問權(quán)限。

只有在Docker已經(jīng)構(gòu)建seccomp并且內(nèi)核配置為CONFIG_SECCOMP啟用的情況下,此功能才可用。檢查你的內(nèi)核是否支持seccomp

$ cat /boot/config-`uname -r` | grep CONFIG_SECCOMP=CONFIG_SECCOMP=y

注意seccomp配置文件需要seccomp 2.2.1,并且只能從Debian 9“Stretch”,Ubuntu 16.04“Xenial”,F(xiàn)edora 22,CentOS 7和Oracle Linux 7開始提供。要在Ubuntu 14.04,Debian Wheezy或Debian Jessie上使用此功能,您必須下載最新的靜態(tài)Docker Linux二進制文件。此功能目前在其他發(fā)行版上不可用。

傳遞容器的配置文件

默認seccomp配置文件為使用seccomp運行容器提供了一個理智的默認設置,并禁用了大約44個超過300+的系統(tǒng)調(diào)用。它具有適度的保護性,同時提供廣泛的應用兼容性 默認的Docker配置文件可以在這里找到)。

實際上,該配置文件是白名單,默認情況下拒絕訪問系統(tǒng)調(diào)用,然后將特定的系統(tǒng)調(diào)用列入白名單。配置文件的工作方式定義defaultActionSCMP_ACT_ERRNO,只覆蓋這一行動特定系統(tǒng)調(diào)用。效果SCMP_ACT_ERRNO是導致Permission Denied錯誤。接下來,配置文件定義了完全允許的系統(tǒng)調(diào)用的特定列表,因為它們action被覆蓋SCMP_ACT_ALLOW。最后,一些具體的規(guī)則是單獨的系統(tǒng)調(diào)用,例如personalitysocket,socketcall,和其他,允許這些系統(tǒng)的變異與特定的參數(shù)來調(diào)用。

seccomp有助于以最低權(quán)限運行Docker容器。不建議更改默認seccomp配置文件。

運行容器時,除非使用該--security-opt選項覆蓋容器,否則它將使用默認配置文件。例如,以下顯式指定了一個策略:

$ docker run --rm \             -it \             --security-opt seccomp=/path/to/seccomp/profile.json \
             hello-world

被默認配置文件阻塞的重要系統(tǒng)

Docker的默認seccomp配置文件是一個白名單,它指定了允許的調(diào)用。下表列出了由于不在白名單而被有效阻止的重要(但不是全部)系統(tǒng)調(diào)用。該表包含每個系統(tǒng)調(diào)用被阻止的原因,而不是白名單。

系統(tǒng)調(diào)用

描述

ACCT

會計系統(tǒng)調(diào)用可以讓容器禁用自己的資源限制或進程記帳。也由CAP_SYS_PACCT門控。

add_key

防止容器使用未命名空間的內(nèi)核密鑰環(huán)。

adjtimex

與clock_settime和settimeofday類似,時間/日期不是命名空間。也由CAP_SYS_TIME進行門控。

BPF

拒絕將可能持久的bpf程序加載到內(nèi)核中,并已由CAP_SYS_ADMIN進行門控。

clock_adjtime

時間/日期不是命名空間。也由CAP_SYS_TIME進行門控。

clock_settime

時間/日期不是命名空間。也由CAP_SYS_TIME進行門控。

clone

拒絕克隆新的命名空間。除CLONE_USERNS外,還由CAP_SYS_ADMIN對CLONE_ *標志進行門控。

CREATE_MODULE

拒絕內(nèi)核模塊的操作和功能。已過時。還由CAP_SYS_MODULE進行門控。

delete_module

拒絕內(nèi)核模塊的操作和功能。還由CAP_SYS_MODULE進行門控。

finit_module

拒絕內(nèi)核模塊的操作和功能。還由CAP_SYS_MODULE進行門控。

get_kernel_syms

拒絕檢索導出的內(nèi)核和模塊符號。已過時。

get_mempolicy

修改內(nèi)核內(nèi)存和NUMA設置的Syscall。已由CAP_SYS_NICE進行門控。

init_module的

拒絕內(nèi)核模塊的操作和功能。還由CAP_SYS_MODULE進行門控。

ioperm

防止容器修改內(nèi)核I / O特權(quán)級別。已由CAP_SYS_RAWIO門控。

IOPL

防止容器修改內(nèi)核I / O特權(quán)級別。已由CAP_SYS_RAWIO門控。

KCMP

限制進程檢查功能,已通過刪除CAP_PTRACE而被阻止。

kexec_file_load

kexec_load的sister系統(tǒng)調(diào)用可以做同樣的事情,但參數(shù)略有不同。還由CAP_SYS_BOOT進行門控。

kexec_load

拒絕加載新內(nèi)核以供稍后執(zhí)行。還由CAP_SYS_BOOT進行門控。

KEYCTL

防止容器使用未命名空間的內(nèi)核密鑰環(huán)。

lookup_dcookie

跟蹤/分析系統(tǒng)調(diào)用,這可能會泄漏主機上的大量信息。也由CAP_SYS_ADMIN門控。

mbind

修改內(nèi)核內(nèi)存和NUMA設置的Syscall。已由CAP_SYS_NICE進行門控。

安裝

拒絕安裝,已由CAP_SYS_ADMIN門控。

move_pages

修改內(nèi)核內(nèi)存和NUMA設置的Syscall。

name_to_handle_at

姐姐系統(tǒng)調(diào)用open_by_handle_at。已由CAP_SYS_NICE進行門控。

nfsservctl

拒絕與內(nèi)核nfs守護進程進行交互。自Linux 3.1以來已過時。

open_by_handle_at

舊集裝箱突破的原因。還由CAP_DAC_READ_SEARCH選通。

perf_event_open

跟蹤/分析系統(tǒng)調(diào)用,這可能會泄漏主機上的大量信息。

個性

防止容器啟用BSD仿真。沒有內(nèi)在的危險,但測試不足,可能發(fā)生大量內(nèi)核威脅。

pivot_root

拒絕pivot_root,應該是特權(quán)操作。

process_vm_readv

限制進程檢查功能,已通過刪除CAP_PTRACE而被阻止。

process_vm_writev

限制進程檢查功能,已通過刪除CAP_PTRACE而被阻止。

ptrace的

跟蹤/分析系統(tǒng)調(diào)用,這可能會泄漏主機上的大量信息。已被CAP_PTRACE下降封鎖。

query_module

拒絕內(nèi)核模塊的操作和功能。已過時。

quotactl

配額系統(tǒng)調(diào)用可以讓容器禁用自己的資源限制或進程記帳。也由CAP_SYS_ADMIN門控。

重啟

不要讓容器重新啟動主機。還由CAP_SYS_BOOT進行門控。

request_key

防止容器使用未命名空間的內(nèi)核密鑰環(huán)。

set_mempolicy

修改內(nèi)核內(nèi)存和NUMA設置的Syscall。已由CAP_SYS_NICE進行門控。

setns

拒絕將線程與名稱空間關聯(lián)。也由CAP_SYS_ADMIN門控。

settimeofday

時間/日期不是命名空間。也由CAP_SYS_TIME進行門控。

套接字,套接字

用于發(fā)送或接收數(shù)據(jù)包以及其他套接字操作。除通信域AF_UNIX,AF_INET,AF_INET6,AF_NETLINK和AF_PACKET之外,所有套接字調(diào)用和套接字調(diào)用都被阻止。

估計

時間/日期不是命名空間。也由CAP_SYS_TIME進行門控。

swapon命令

拒絕啟動/停止交換文件/設備。也由CAP_SYS_ADMIN門控。

使用swapoff

拒絕啟動/停止交換文件/設備。也由CAP_SYS_ADMIN門控。

sysfs的

已過時的系統(tǒng)調(diào)用。

_sysctl

已過時,由/ proc / sys取代。

卸除

應該是一個特權(quán)操作。也由CAP_SYS_ADMIN門控。

umount2

應該是一個特權(quán)操作。也由CAP_SYS_ADMIN門控。

取消共享

拒絕克隆進程的新名稱空間。還由CAP_SYS_ADMIN進行門控,但不共享--user。

相信

較舊的系統(tǒng)調(diào)用與共享庫相關,很長一段時間未使用。

userfaultfd

用戶空間頁面錯誤處理,主要用于進程遷移。

USTAT

已過時的系統(tǒng)調(diào)用。

VM86

在內(nèi)核x86實模式虛擬機中。也由CAP_SYS_ADMIN門控。

vm86old

在內(nèi)核x86實模式虛擬機中。也由CAP_SYS_ADMIN門控。

運行時不使用默認的seccomp配置文件

你可以通過unconfined若要運行沒有默認Seccomp配置文件的容器,請執(zhí)行以下操作。

$ docker run --rm -it --security-opt seccomp=unconfined debian:jessie \
    unshare --map-root-user --user sh -c whoami
Previous article: Next article: