docker容器是否足够安全，可以与生产系统并排运行第三方不受信任的容器？

Question

我们计划允许在我们的基础设施上执行与我们的api交互的第三方微服务代码。 dockerizing足够安全吗？ 是否有跟踪资源（网络，ram，cpu）容器消耗的解决方案？

Answer 1

你可以安装portainer.io （参见它的demo ，密码tryportainer ）

但要真正隔离这些第三方微服务，您可以在基础架构上定义的自己的VM中运行它们。 该VM将运行docker守护程序和服务。 只要VM可以访问API，那些微服务容器就可以正常运行，并且不会直接从基础架构访问/访问任何内容。
您需要正确定义/调整VM大小，以便为容器运行分配足够的资源，每个资源都可以确保自己的资源隔离 。

Answer 2

Docker（17.03）是保护隔离进程的绝佳工具。 它使用内核命名空间 ， 控制组和一些内核功能来隔离在不同容器中运行的进程。

但是，这些进程并非100％彼此隔离，因为它们使用相同的内核资源。 每个进行IO调用的dockerize进程都会在一段时间内离开其隔离的环境，并进入共享环境，即内核。 虽然您可以为每个容器设置限制，例如可以使用多少处理器或多少RAM，但您无法对所有内核资源设置限制。

您可以阅读本文以获取更多信息。