在不受信任的主机上运行的Docker容器

Question

我知道在主机上运行的Docker容器具有root特权。

我想使用来自Web应用程序的HTTP requests来启动容器，但我不信任运行docker的主机。

是否可以将我的容器设置为"black-box"以便甚至可以阻止主机中的根访问它？

我想要的只是运行它？

还有其他替代docker的替代方法可以用来实现这一目标吗？

Answer 1

我知道在主机上运行的Docker容器具有root特权。

这主要是不正确的。 Docker容器仅对容器可见的内容具有root用户访问权限； 即目录已显式安装到容器上。

是否可以将我的容器设置为“黑匣子”，以便甚至可以阻止主机中的根访问它？

否。计算机的root用户可以访问计算机上的所有内容。 无法阻止root用户访问该容器。

还有其他替代docker的替代方法可以用来实现这一目标吗？

您将以某种形式在主机上部署应用程序，这将导致可运行的过程。 root用户将始终可以访问和控制此过程。 因此，无论采用哪种方法，都无法阻止root用户访问应用程序进程。