docker容器是否足夠安全，可以與生產系統並排運行第三方不受信任的容器？

Question

我們計划允許在我們的基礎設施上執行與我們的api交互的第三方微服務代碼。 dockerizing足夠安全嗎？ 是否有跟蹤資源（網絡，ram，cpu）容器消耗的解決方案？

Answer 1

你可以安裝portainer.io （參見它的demo ，密碼tryportainer ）

但要真正隔離這些第三方微服務，您可以在基礎架構上定義的自己的VM中運行它們。 該VM將運行docker守護程序和服務。 只要VM可以訪問API，那些微服務容器就可以正常運行，並且不會直接從基礎架構訪問/訪問任何內容。
您需要正確定義/調整VM大小，以便為容器運行分配足夠的資源，每個資源都可以確保自己的資源隔離 。

Answer 2

Docker（17.03）是保護隔離進程的絕佳工具。 它使用內核命名空間 ， 控制組和一些內核功能來隔離在不同容器中運行的進程。

但是，這些進程並非100％彼此隔離，因為它們使用相同的內核資源。 每個進行IO調用的dockerize進程都會在一段時間內離開其隔離的環境，並進入共享環境，即內核。 雖然您可以為每個容器設置限制，例如可以使用多少處理器或多少RAM，但您無法對所有內核資源設置限制。

您可以閱讀本文以獲取更多信息。