一个 docker 用户可以隐藏另一个用户的数据吗？

Question

Alice 和 Bob 都是同一主机上 docker 组的成员。 Alice 想在 docker 容器中运行一些长时间运行的计算，然后将结果复制到她的主文件夹。 Bob 很爱管闲事，Alice 不希望他能够读取她的计算正在使用的数据。

系统管理员可以做些什么来让 Bob 远离 Alice 的 docker 容器？

根据named volumes 和docker cp command，我认为Alice 应该如何从她的容器中获取数据，如this question 和this one 中所述。

$ pwd
/home/alice
$ date > input1.txt
$ docker volume create sandbox1
sandbox1
$ docker run --name run1 -v sandbox1:/data alpine echo OK
OK
$ docker cp input1.txt run1:/data/input1.txt
$ docker run --rm -v sandbox1:/data alpine sh -c "cp /data/input1.txt /data/output1.txt && date >> /data/output1.txt"
$ docker cp run1:/data/output1.txt output1.txt
$ cat output1.txt
Thu Oct  5 16:35:30 PDT 2017
Thu Oct  5 23:36:32 UTC 2017
$ docker container rm run1
run1
$ docker volume rm sandbox1
sandbox1
$ 

我创建了一个输入文件input1.txt 和一个命名卷sandbox1。然后我启动一个名为run1 的容器，这样我就可以将文件复制到指定的卷中。该容器仅打印一条“OK”消息并退出。我复制输入文件，然后运行主计算。在此示例中，它将输入复制到输出并为其添加第二个时间戳。

计算完成后，我复制输出文件，然后删除容器和命名卷。

有什么方法可以阻止 Bob 加载他自己的容器，该容器安装了命名卷并向他显示 Alice 的数据？我已将 Docker 设置为使用 a user namespace，因此 Alice 和 Bob 没有主机的 root 访问权限，但我看不到如何让 Alice 和 Bob 使用不同的用户命名空间。

Answer 1

Alice 和 Bob 通过位于 docker 组中被授予对主机的虚拟 root 访问权限。

docker 组授予他们通过套接字文件访问 Docker API 的权限。目前 Docker 中没有工具来区分 Docker API 的用户。 Docker 守护程序以 root 身份运行，并且凭借 Docker API 允许的功能，Alice 和 Bob 将能够绕过您尝试设置的任何障碍。

用户命名空间

user namespace isolation 的使用会阻止用户在容器内以特权用户或其他用户身份脱离容器，因此实际上容器进程现在以非特权用户身份运行。

一个例子是

• Alice 被授予对在 namespace_a 中运行的容器 A 的 ssh 访问权限。
• Bob 被授予对 namespace_b 中容器 B 的 ssh 访问权限。

因为用户现在只在容器内，他们将无法在主机上修改彼此的文件。假设如果两个容器都映射了相同的主机卷，那么没有世界读/写/执行的文件将对彼此的容器是安全的。由于他们无法控制守护进程，因此他们无法采取任何措施来突破。

Docker 守护进程

命名空间不保护 Docker 守护进程和 API 本身，这仍然是一个特权进程。绕过用户名称空间的第一种方法是在命令行上设置主机名称空间：

docker run --privileged --userns=host busybox fdisk -l

docker exec、docker cp 和 docker export 命令将为有权访问 Docker API 的人提供任何已创建容器的内容。

限制 Docker 访问

可以限制对 API 的访问，但您不能在 docker 组中拥有具有 shell 访问权限的用户。

通过sudo 允许一组有限的docker 命令或提供sudo 访问硬编码docker 参数的脚本：

#!/bin/sh
docker run --userns=whom image command

对于自动化系统，可以通过额外的 shim API 提供访问权限，该 API 在 Docker API 前面具有适当的访问控制，然后将“受控”请求传递给 Docker。 dockerode 或 docker-py 可以轻松插入 REST 服务并与 Docker 接口。