将 --security-opt seccomp:filename.json 传递给 Docker swarm 中的容器答案

【问题标题】：Passing --security-opt seccomp:filename.json to a container in Docker swarm将 --security-opt seccomp:filename.json 传递给 Docker swarm 中的容器
【发布时间】：2018-08-07 10:58:03
【问题描述】：

我需要将自定义 seccomp 配置文件传递给在 Docker swarm 上运行的容器。它可以很容易地完成，并且可以使用 --security-opt 选项与独立容器一起正常工作。当您尝试将其传递给在 swarm 上运行的容器时，就会出现问题。 Docker compose file ver 3 文档明确指出 --security-opt 选项在集群部署中被忽略：https://docs.docker.com/compose/compose-file/#security_opt

当部署在 swarm 上时，如何将自定义 seccomp 配置文件传递给容器或服务？有没有其他方法可以改变容器的系统限制？ cap_add 和/或 cap_drop 不是一个选项。有任何想法吗？太感谢了！

【问题讨论】：

标签： docker docker-compose swarm seccomp

【解决方案1】：

目前在 Swarm 模式下无法执行此操作。如果您有需要这些选项的容器，则需要在 Swarm 模式之外运行它们。

要跟踪添加此功能的进度：

Moby/moby 问题 #25209（docker-ce 上游）：https://github.com/moby/moby/issues/25209
Swarmkit 问题 #1030：https://github.com/docker/swarmkit/issues/1030
授权：https://github.com/moby/libentitlement

目标是让 libentitlement 提供一种简单的方法来调整功能、seccomp 和其他安全功能，同时简化用户体验。是先发生这种情况，还是 swarmkit 直接实现某些东西，取决于提交 PR 的人。

【讨论】：