在不受信任的主機上運行的Docker容器

Question

我知道在主機上運行的Docker容器具有root特權。

我想使用來自Web應用程序的HTTP requests來啟動容器，但我不信任運行docker的主機。

是否可以將我的容器設置為"black-box"以便甚至可以阻止主機中的根訪問它？

我想要的只是運行它？

還有其他替代docker的替代方法可以用來實現這一目標嗎？

Answer 1

我知道在主機上運行的Docker容器具有root特權。

這主要是不正確的。 Docker容器僅對容器可見的內容具有root用戶訪問權限； 即目錄已顯式安裝到容器上。

是否可以將我的容器設置為“黑匣子”，以便甚至可以阻止主機中的根訪問它？

否。計算機的root用戶可以訪問計算機上的所有內容。 無法阻止root用戶訪問該容器。

還有其他替代docker的替代方法可以用來實現這一目標嗎？

您將以某種形式在主機上部署應用程序，這將導致可運行的過程。 root用戶將始終可以訪問和控制此過程。 因此，無論采用哪種方法，都無法阻止root用戶訪問應用程序進程。